1/21 Procedimiento Nº AP/00034/2015 RESOLUCIÓN: R/02889/2015 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00034/2015, instruido por la Agencia Española de Protección de Datos al COLEGIO OFICIAL DE ARQUITECTOS DE CASTILLA Y LEÓN ESTE, vista la denuncia presentada por DOS DENUNCIANTES, y en virtud de los siguientes: ANTECEDENTES PRIMERO: Con fecha 10/06/2014 tiene entrada en esta Agencia DOS DENUNCIAS (ANEXO GENERAL para denunciada, ANEXO 1 para denunciante 1, ANEXO 2 para denunciante 2) pertenecientes al COLEGIO OFICIAL DE ARQUITECTOS DE CASTILLA Y LEÓN ESTE (COACYLE) al que denuncian. Los escritos de denuncia son casi idénticos, como también lo son los hechos y documentos aportados juntos con éstas. Ambos denunciantes manifiestan: 1. El 3/04/2014, la Junta de Gobierno del COACYLE, expuso mediante su publicación en su sitio web, en página de libre acceso la convocatoria para la celebración de la Asamblea General ordinaria que se celebraría el 6/05/2014. Entre otros puntos del orden del día se comprendía la lectura y aprobación de la Memoria de Gestión de 2013. Como documentación vinculada y necesaria para la celebración de la citada Asamblea se proporcionaba un enlace a un documento en formato PDF en el que, bajo el título “Relación de Principales Acuerdos Adoptados en Juntas de Gobierno” se citaban los nombres y apellidos de los denunciantes en relación con un expediente que se iba a tramitar por una Comisión Deontológica. De dicha forma, se posibilitó el conocimiento de la cuestión por personas que no tenían la condición de interesados en un acto administrativo. 2. Según la orden PAT/921/2004, de 31/05, el Estatuto particular de la denunciada es una Corporación de Derecho Público. 3. Consideran que la información publicada en la fase en que se hallaba, no era de interés para los arquitectos colegiados, ni mucho menos para cualquier persona, estando la cuestión está pendiente de ser definida plenamente. 4. Según el artículo 49.1 del Real Decreto 327/2002, de 5/04, por el que se aprueban los Estatutos Generales de los Colegios Oficiales de Arquitectos y su Consejo Superior, BOE del 20/04/2002, las sanciones no se ejecutarán ni se harán públicas en el boletín o circular colegial mientras no sean firmes y que la sanción primera no será publicada en ningún caso. Los escritos vienen acompañados de copia de los siguientes documentos:
- a)Publicación en el sitio web del Colegio de la convocatoria de la Asamblea Ordinaria para el día 6/05/2014.
- b)Acta notarial de 27/05/2014 en la que se deja constancia de la publicación de los datos citados en el punto 2. Se accede a indicación de los denunciantes a GOOGLE C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/21 y se introduce “BorradorMemoriaGestionCOACYCLE-2013” obteniendo el texto “Informe anual gestión económica” y en www.coacyle.com/..................., al final existe un desplegable que pulsando con el botón derecho figura “en caché” y pinchando sobre este se obtiene un texto paginado de 1 a 39. Titulado “Colegio Oficial de Arquitectos de Castilla y León Este. MEMORIA ANUAL DE GESTION ECONOMICA 2013”. En su página 22 en “Relación principales acuerdos adoptados en Juntas de Gobierno” se informa de: “poner en conocimiento de la Comisión deontológica del Consejo Superior de Colegios de Arquitectos de España determinadas actuaciones de la ***COLEGIADA.1- poniendo los datos identificativo de nombre y apellidos de DENUNCIANTE 1 , y en su caso poner también en conocimiento de la citada Comisión, la actuación del colegiado y miembro de la Comisión deontológica del Colegio- identificado con nombre y apellidos los datos de DENUNCIANTE 2, al objeto de que esta determine si las actuaciones de ambos son constitutivas de una falta deontológica.” Se aporta impresión de este literal. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información, teniendo conocimiento de: 1) El 9/12/2014, el Subinspector actuante trata de acceder a la URL en la que estaba publicado el documento www.coacyle.com....................pdf. pero el servidor del sitio web del COACYLE responde que el documento no se encuentra disponible. En la misma fecha se reproduce la búsqueda en el buscador GOOGLE con el criterio “BorradorXXXXXXXXXX-ultima”, no hallando resultado alguno. 2) El 9/12/2014 el Subinspector actuante accede al sitio web www.coacyle.com en el que se constatan los siguientes hechos: a. La convocatoria de “ASAMBLEA GENERAL ORDINARIA” publicada el 3/04/2014 que aportan los denunciantes aparece en el listado de noticias del sitio web pero no contiene enlaces a documento. b. La circular publicada en la página web el 24/04/2014 y titulada “Asamblea General Ordinaria DD/MM/AA” sí que contiene varios enlaces. Uno de ellos es un enlace asociado al texto “Memoria de Gestión del año 2.013.” corresponde a la URL www.coacyle.com....................pdf. Al tratar de acceder al documento el servidor del sitio web del COACYLE responde que el documento no se encuentra disponible. c. Se localiza en la sección de memorias de gestión (Opciones de menú: COLEGIO – MEMORIA DE GESTION – MEMORIA) un listado de documentos. La memoria correspondiente al año 2013, en su página 22 contiene el siguiente texto: “Relación de Principales Acuerdos Adoptados en Juntas de Gobierno PONER EN CONOCIMIENTO DE LA COMISIÓN DEONTOLOGICA DEL CONSEJO SUPERIOR DE COLEGIOS DE ARQUITECTOS DE ESPAÑA C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/21 (CSCAE) DETERMINADAS ACTUACIONES DE UNA COLEGIADA, Y ANALIZAR, Y EN SU CASO PONER TAMBIEN EN CONOCIMIENTO DE LA CITADA COMISIÓN, LA ACTUACIÓN OTRO COLEGIADO, AL OBJETO DE QUE ESTA DETERMINE SI LAS ACTUACIONES DE AMBOS SON CONSTITUTIVAS DE UNA FALTA DEONTOLÓGICA” 3) En respuesta a la solicitud de información remitida al COACYLE en relación con los datos publicados, los representantes de la entidad manifiestan el 15/01/2015: a. En la Junta de Gobierno celebrada el 5/02/2013, se adoptó el acuerdo XXXX/13, y tal extremo se mencionaba en la Memoria anual sin detallar ni ofrecer más información. La entidad aporta copia del acta de la Junta de Gobierno pero de 9/05/2013. Mediante escrito de entrada 16/01/2015 aporta la de 5/02/2013 en la que figura el debate de la actuación de la ***COLEGIADA.1, la votación, y el acuerdo cuyo literal coincide con el que figuraba en la memoria 2013 y acta notarial aportada por denunciante. b. El artículo 20 de los Estatutos particulares del COACYLE establecen que corresponde a la Asamblea General “Conocer y sancionar la Memoria que la Junta de Gobierno le someterá resumiendo su actuación durante el año anterior, así como la gestión de los demás órganos del Colegio, y los acontecimientos de mayor relieve en la vida profesional.” La entidad manifiesta en su escrito que la Ley 2/1974, de 13/02, sobre Colegios Profesionales establece en su artículo 11.1
- c)que la memoria anual deberá contener al menos la siguiente información “Información agregada y estadística relativa a los procedimientos informativos y sancionadores en fase de instrucción o que hayan alcanzado firmeza, con indicación de la infracción a la que se refieren, de su tramitación y de la sanción impuesta en su caso, de acuerdo, en todo caso, con la legislación en materia de protección de datos de carácter personal.”, mientras que el artículo 11.2 obliga a que dicha memoria se haga pública a través de la página web el primer semestre de cada año. El artículo de la norma citada indica claramente el tipo de información a publicar: “agregada y estadística”, lo que difiere claramente de la obligación de publicar datos sobre procedimientos individuales. c. El COACYLE cita el artículo 6.2 de la LOPD del que resulta que no será preciso el consentimiento para el tratamiento de los datos de carácter personal cuando éstos se recogen para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias. La citada Ley 2/1974, en su artículo 5.i indica que una de las funciones de los colegios profesionales es la de “…ejercer la facultad disciplinaria en el orden profesional y colegial.”. Aporta además, copia de un escrito denominado “autorización” firmado por los denunciantes en los que consienten “…a todos los órganos del Colegio de Arquitectos” la incorporación de sus datos personales a un fichero con distintas finalidades y autoriza también “…el tratamiento automatizado de los datos que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/21 resulten de los escritos, proyectos y demás trabajos que presente en el Colegio, así como de los expedientes de toda clase que tramite el Colegio.” En la autorización los firmantes reconocen haber sido informados sobre la existencia de las bases de datos colegiales y los derechos ARCO. d. El artículo 74.2 del Estatuto particular del COACYLE establece que “El Consejo Superior de los Colegios de Arquitectos será competente para incoar y resolver los expedientes disciplinarios que hubiesen de incoarse a los miembros de la Junta de Gobierno y a los de la Comisión Deontológica mientras permanezcan en el ejercicio de sus cargos o se refieran a actuaciones relacionadas directamente con el ejercicio de sus respectivas funciones.” La entidad aporta copia de la denuncia remitida al Consejo Superior de los Colegios de Arquitectos que tuvo entrada el día 13/03/2013 y que incluía a ambos denunciantes y del escrito de 15/05/2013 mediante el que se adjuntaban escritos en relación con DENUNCIANTE 2. La entidad aporta copia del traslado del acuerdo del Consejo Superior de los Colegios de Arquitectos, de fecha 4/11/2014, que resuelve el 23/10/2014 la denuncia presentada frente a DENUNCIANTE 1 pero no se aporta documentación que acredite la apertura de expediente alguno a DENUNCIANTE 2. El citado documento se traslada al COACYLE el 5/11/2014 (folios 242 y ss.). e. La fecha a partir del cual se sustituyó la versión de la memoria anual que contenía los datos de los denunciantes por la actual que no los contiene sólo ha podido establecerse indirectamente, a través de acceso que muestran error al tratar de acceder a dicho documento, y se estima en el 7/05/2014. f. El COACYLE solicitó el 16/05/2014 un informe jurídico a la Agencia Española de Protección de Datos en relación con las dudas que dicha entidad tiene sobre si procede incorporar el nombre y número de los colegiados afectados por procedimientos informativos o sancionadores en la Memoria de Gestión Económica Anual del Colegio. Se observa que la discusión y aprobación de la citada memoria tuvo lugar en una reunión convocada para el 6/05/2014. En respuesta a dicha solicitud el Gabinete Jurídico emitió un informe con referencia 209956/2014 que fue firmado el 18/03/2015. En el citado informe se indicaba entre otras cosas que “…la cesión derivada de la divulgación de la información contenida en la memoria anual que deberá hacerse pública a través de la página web, serán los gastos de personal y las retribuciones de los miembros de la Junta de Gobierno en razón de su cargo, el resto de la información a incluir, debería limitarse, tal y como señala la norma, a una información agregada y estadística, es decir, debidamente disociada” y que “….el artículo 11 de la Ley de Colegios Profesionales no autoriza la difusión universal, en la página web del Colegio Profesional, libremente accesibles para cualquier persona, de los Acuerdos de la Junta de Gobierno, con indicación del nombre y número de colegiado del profesional afectado, por lo que dicha publicación no sería conforme con lo previsto en la Ley Orgánica 15/1999.” Al escrito se responde el mismo día 16/05/2014 precisando que las consultas de la página web están C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/21 concebidas como buzón de atención al ciudadano, pero que pueden solicitar en informe su consulta (folio 257) 4) El 24/04/2015 tiene entrada un escrito de DENUNCIANTE 1 el que notifica la publicación de una noticia en el sitio web del COACYLE sobre su persona en la dirección http://www.coacyle.com...... La noticia, de fecha 7/04/2015, informa del “…ACUERDO adoptado en el Pleno del CSCAE del 23/10/2014, en relación al Expediente Disciplinario C-****-1 contra…” la citada denunciante identificada con nombre y apellidos, número de colegiado. Pinchando en dicha noticia se visiona el Acuerdo, fechado el 26/03/2014. Se contiene además de los datos ya mencionados, accesible a cualquier persona, su DNI, indica que “notifica” con relación al expediente disciplinario el Acuerdo del Pleno de 23/10/2014, que no reproduce por “mayor protección de la intimidad” informando a la DENUNCIANTE 1 que puede recogerlo en las oficinas, añadiendo que “esta publicación tendrá los efectos previstos en el artículo 59.5 de la Ley 30/1992 como práctica de notificación”. A fecha 1/06/2015 el Subinspector de la Agencia Española de Protección de Datos, comprobó que la citada noticia y el enlace al acuerdo con su contenido sigue siendo accesible a cualquier persona. TERCERO: Con fecha 9/06/2015, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento de declaración de infracción de las Administraciones Públicas al COLEGIO OFICIAL DE ARQUITECTOS DE CASTILLA Y LEÓN ESTE, por la infracción de los artículos 6.1 y 10 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como graves en los artículos 44.3.
- b)y 44.3.
- d)de dicha norma. CUARTO: Con fecha 7/07/2015 el COACYLE alega: 1) Ilegalidad del acuerdo de inicio por cuanto se les preguntó en actuaciones previas en relación con la aparición en mayo 2014 de un documento con los datos de los denunciantes y ahora se hace referencia a la publicación de la noticia en la página web con los datos de la denunciante a efectos de notificarle la resolución. 2) En cuanto a la exposición en su web de la noticia que contenía la referencia a la resolución del disciplinario, escrito de 26/03/2014 del Consejo Superior de los Colegios de Arquitectos de España, (fecha errónea pues sería 26/03/2015) manifiesta que cumplieron el requerimiento del mismo que “nos solicitó que publicásemos en la página web del COACYLE” su acuerdo. Ello se produjo por la “imposibilidad de notificar normalmente a la denunciante una resolución por la que se resolvía un expediente sancionador iniciada contra ella”. En el mismo acceso a la noticia se indicaba “Siguiendo las instrucciones del Secretario del CSCAE, según escrito de entrada de 31/03/2015, damos traslado del comunicado del Acuerdo adoptado en el Pleno del CSCAE de 23/10/2014 en relación al expediente disciplinario C ****-1 contra DENUNCIANTE 1, colegiada xx70 del COACYLE. Al respecto, se aporta el citado escrito de entrada C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/21 26/03/2015, fechado también a 26/03/2015 y que indica en su literal “En relación con la denuncia presentada por acuerdo de la Junta de Gobierno del Colegio Oficial de Arquitectos de castilla y León, en sesión celebrada el 5/02/2013 contra DENUNCIANTE 1, adjunto remito para mayor garantía, comunicado del Pleno del Consejo Superior de los Colegios de Arquitectos de 23/10/2014 para su inserción en la página web o circular colegial de ese Colegio, dando cuenta a esta Secretaria para su constancia en expediente. 3) Con la publicación de los datos de los denunciantes se cumple lo previsto en el artículo 11.2
- c)de la Ley de Colegios Profesionales, (si bien cabe significar que hace mención al artículo de modo no literal pues dicho artículo señala Información agregada y estadística, debiendo añadir que cuando lo publicaron ni siquiera se hallaba en fase de instrucción). En definitiva considera que resulta de aplicación el artículo 6.2 de la LOPD por cuanto el Colegio estaba ejerciendo funciones propias de Administración Pública en el ámbito de sus competencias, y existía relación con los denunciantes. 4) Alega asimismo que los denunciantes otorgaron su consentimiento para el tratamiento de los expedientes de todas las clases que tramite el Colegio según ficha que cumplimentaron y se aportó en actuaciones previas. 5) Manifiesta que los hechos se produjeron en un breve espacio de tiempo, solo fueron temporalmente publicados. Según sus técnicos informáticos, el link no funcionaba al intentar descargarlo a partir del 7/05/2014. QUINTO: Con fecha 14/07/2015 se recibe escrito de DENUNCIANTE 2 en el que declara que no comprende la naturaleza del documento que se menciona en el expositivo de hechos apartado 3 “Aporta copia de una autorización firmada por los denunciantes en los que consiente” a todos los órganos del Colegio, la incorporación de sus datos personales a un fichero con distintas finalidades y autoriza también…el tratamiento automatizado de los datos que resulten de los escritos, proyectos y demás trabajos que presenten en el colegio así como de los expedientes de toda clase que tramite el Colegio”. Solicita copia del mismo que se le remite en fecha 17/07/2015. Se refiere a folios número 76, 259 y 260 que la denunciada presentó en actuaciones previas en fecha 15/01/2015. SEXTO: Con fecha 28/09/2015, el Instructor efectúa acceso a la página web del COACYLE y no se encuentra reseña de los documentos objetos de la denuncia, ni el referido a la puesta en conocimiento de la Comisión deontológica que se refería en el orden del día punto 3 dentro de la Gestión de Memorial Anual 2013, ni el escrito a efectos de notificación de la resolución del CSCAE de 26/03/2015, incorporando impresiones efectuadas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/21 SÉPTIMO: Con fecha 30/09/2015 se emitió la propuesta de resolución con el literal: “PRIMERO: Que por el Director de la Agencia Española de Protección de Datos se declare la infracción de Administraciones Públicas del artículo 6.1 de la LOPD por el COLEGIO OFICIAL DE ARQUITECTOS DE CASTILLA Y LEÓN ESTE, tipificada como grave en el artículo 44.3.
- b)de dicha norma. SEGUNDO: Que por el Director de la Agencia Española de Protección de Datos se DECLARE el ARCHIVO de la infracción del artículo 10 de la LOPD imputada al COLEGIO OFICIAL DE ARQUITECTOS DE CASTILLA Y LEÓN ESTE, tipificada como grave en el artículo 44.3.
- d)de dicha norma. “ OCTAVO: Con fecha 28/10/2015 presenta alegaciones indicando: 1) No de acuerdo con la fecha que se indica en el hecho segundo, punto 3) que no es 15/01/2015 sino 24/12/2014. Respecto de esta alegación, obra en el expediente (folio 74 y ss. que el 12/12/2014 la denunciada firma el recibí de la petición de información de la Agencia. En dicho escrito, figura la firma de 23/12/2014 con sello de entrada en Agencia de 15/01/2015. Esta entrada es la que siempre se contempla en los expedientes pues administrativamente es la fecha en que tiene entrada en el órgano, no la fecha de firma del documento, la primera es la que se considera a todos los efectos. Un segundo escrito de la denunciada firmado el 8/01/2015 tuvo entrada el 16/01/2015 en el que se envía la copia del Acta de Junta de Gobierno COACYLE 5/02/2013. Por tanto la queja de error en las fechas no puede prosperar. 2) En el mismo folio 3 y en el mismo hecho segundo se indica que se aportó el Acta de la Junta de Gobierno Local de 9/05/2013, si bien se dieron cuenta y el 8/01/2015 lo subsanación, aportando la de 5/02/2013 para que sustituyera a la anterior. 3) El Instructor se equivoca al concluir que el hecho de que el COACYLE consultara al Gabinete Jurídico de la Agencia “previa exposición de los datos revela que no se consideraba acertada la decisión de ello, y debió de prevalecer la cautela de no exposición de datos en la web, sin que ello merme en sentido alguno la responsabilidad imputada pues una vez cometida la infracción no cabe consultar el sentido de la misma. Considera que “la consulta no fue previa a la comisión de la infracción. La infracción se cometió el 3/04/2014 y la consulta se produjo el 16/05/2014 pero la afirmación de las consecuencias que saca el Instructor no son correctas pues es una opinión, demostrándose: a. La ausencia de dolo. El hecho de consultar al Gabinete Jurídico tras la exposición de los datos revela que no se conocía la irregularidad de la actuación, pues de lo contrario, carecía de sentido hacer la consulta. b. La voluntad inequívoca de reparar el daño y el afán de conocer que se puede o no insertar en una Memoria anual. Cuando se efectuó la consulta ya se había retirado de la Memoria los nombres y apellidos de los denunciantes, no figurando desde 7/05/2014. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/21 c. No eran conocedores de la legislación de protección de datos y ello ha de conllevar diferencia a efectos de graduación de la sanción. Respecto de la expresión previa exposición de los datos en la web lo que se quería manifestar por el Instructor fue que previamente a la consulta, los datos se expusieron, figuraron expuestos, y una vez retirados, se efectuó la consulta, y que ante la duda hubiera convenido no haber actuado en el sentido en que se hizo. 4) En el folio 16 de la propuesta se evidencia la falta de imparcialidad del Instructor pues los datos estuvieron pocos días y se indica que la información publicada en Internet puede ser accedida en múltiples lugares. 5) El acceso a los datos denunciados el 27/05/2015 que refleja el acta notarial no es imputable a la denunciada pues es a través de una caché de GOOGLE. 6) Alegan sobre los datos de denunciante 1 que se expusieron en la web a efectos de notificación, apartado “noticias” que actuar en ejecución de un acto dictado por un órgano superior carece de relevancia en la responsabilidad de la denunciada, el cumplimiento de dicho mandato sería una causa eximente de su responsabilidad. 7) La propuesta conculca el principio de presunción de inocencia y de imparcialidad. 8) La propuesta omite hechos que favorecen a la denunciada y ha de ser declarada nula. Debería incluir que “Los servicios informáticos han acreditado que desde 7/05/2014 ya no era accesible la información” y solicita que se amplíe el plazo para practicar pruebas para aportar el dictamen pericial de técnicos informáticos. Se adoptaron medidas correctoras necesarias para reparar el daño y que la publicación en la página web del COACYLE del escrito remitido por el Consejo Superior de los Colegiados de Arquitectos de España CSCAE fue en cumplimiento de una Orden recibida por el Secretario General del CSCAE en escrito de 26/03/2015 recibida el 31/03/2015, adjuntan copia en do 1 en la que figura “En relación con la denuncia presentada por acuerdo de la Junta de Gobierno del colegio Oficial de Arquitectos de Castilla León Este, en sesión celebrada el 5/02/2013 contra DENUNCIANTE 1, adjunto remito para mayor garantía comunicado del Pleno del Consejo Superior de los Colegios de Arquitectos de fecha 23/10/2014 para su inserción en la página web o circular colegial de ese Colegio, dando cuenta a esta Secretaria para su constancia en el expediente” . 9) La publicación en la web del COACYLE del acuerdo adoptado por el pleno del CSCAE respecto de la resolución de un expediente sancionador a la denunciante no constituye conducta antijurídica pues existe apoyo legal en el artículo 11 de la Ley 2/1974 de Colegios Profesionales en la redacción dada por la Ley 25/2009 que regula la ventanilla única. Resultaría de aplicación el punto c para que los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/21 profesionales de forma gratuita puedan “Conocer el estado de tramitación de los procedimientos en los que tenía la consideración de interesado y recibir la correspondiente notificación de los actos de tramite preceptivos y la resolución de los mismos por el Colegio incluida la notificación de los expedientes disciplinarios cuando no fuera posible por otros medios”. Nada se indicaba del sentido de la resolución que obligaba a publicarse, tan solo se notifica a la interesada que ya existía un acuerdo de resolución. La denunciada ha de convenir que la notificación en el apartado noticias no es la ventanilla única, y a efectos de notificar el acto administrativo se deben cumplir una serie de requisitos, ninguno lleva a la exposición en la web. 10) Finaliza indicando que concurren varias circunstancias atenuantes para graduar la sanción como son el breve espacio de tiempo en que estuvieron accesibles y falta de intencionalidad. Acaba solicitando que se aplique el artículo 45.5 de la LOPD o se aplique un apercibimiento. En tal sentido, destacar que ninguna sanción se ha propuesto, tratándose de declaración de infracción, sin que quepa hablar de reducción por aplicación de atenuantes del 45.5 de la LOPD o del apercibimiento, previstos ambos para expedientes sancionadores. NOVENO: Con fecha 16/11/2015 se presentan nuevas alegaciones aportando informe elaborado por el técnico informático del COACYLE y relativo a la fecha en que la información referente a los datos personales de los denunciantes dejaron de estar disponibles en la página web. Destaca del informe que el 3/04/2014 el COACYLE envía una circular a sus colegiados mediante su programa de envío de circulares accesible a través del enlace que señala, conteniendo dicha circular un enlace a un documento pdf llamado BorradorMemoriaGestionCOACYLE2013 accesible a través de un enlace. El documento enlazado en la circular contenido en su página 22 los datos personales que fueron eliminados. La circular se envió mediante el programa de gestión de circulares del COACYLE, programa que no permite determinar el momento en que el fichero fue subido o retirado de la web. El modo en que se puede saber esa fecha se basa en los registros de log del servidor de la página web, que almacena las peticiones que se hacen a la página web y registra las respuestas. Con estos registros se puede conocer el instante en que al pretender acceder al documento, el servidor da un error. Aportan un listado de las entradas de los logs por fecha. Resume que se efectuaron 366 peticiones correctas entre el 25/04/2014 y el 7/05/2014 en que se genera la primera petición errónea. Concluye que el documento no pudo ser accesible desde la web del COACYLE desde el 7/05/2014 a las 18,53 minutos, momento a partir del cual el acceso al documento devuelve error HECHOS PROBADOS: 1) El COACYLE, en concreto, la Junta de Gobierno presenta a la Asamblea General, la Memoria Anual de 2013
(74)en una reunión que tendría lugar el 6/05/2014
(3). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/21 2) A requerimiento de DENUNCIANTE 1, un Notario el 27/05/2014 efectúa un acta de presencia y certifica que en el buscador GOOGLE en “borradorXXXXXXXXXX” figura una página “Informe Anual Gestión Económica-COACYLE, figurando un desplegable en caché, obtuvo el acceso a un documento en el que se da cuenta de la acuerdos adoptados en la Junta de Gobierno, y se reproduce uno en el que se pone en conocimiento de la Comisión deontológica determinadas actuaciones por si son constitutivas de falta deontológica , figurando los nombres y apellidos de los denunciantes imprimiendo lo observado en pantalla (7, 10). Al documento se pudo acceder a través del servidor sin dar error entre las fechas 25/04 a 7/05/2014 según informe técnico informático aportado por la denunciada, logrando el acceso al documento en 366 ocasiones. 3) El Acuerdo de la Junta de Gobierno de que se trata se adoptó el 5/02/2013 (264, 266) punto 3.1
(270). 4) Con fecha 1/06/2015 el Servicio de Inspección comprobó que en la página web del COACYLE, en abierto, en el área de noticias hay una de 7/04/2015 en que se ven los datos de la DENUNCIANTE 1, incluido su NIF relacionado con un expediente disciplinario. Haciendo clic en COMUNICADO del Acuerdo, figura visible un escrito pdf del Consejo Superior de los Colegios de Arquitectos de España de 26/03/2015 en el que indica que a efectos del artículo 59.5 de la Ley 30/1992 se notifica que ha recaído resolución de 23/10/2014, figurando su nombre apellidos, DNI, número de colegiado y número de expediente. (315 a 317, 319 a 323). Ninguna norma estatutaria prevé que las reseñas de notificaciones administrativas que contienen datos personales de los Colegiados, como la de 26/03/2015, se efectúen a través de la web Colegial, ni en abierto. Tampoco se acredita que la citada notificación se practicara porque la interesada en el procedimiento fuera desconocida, se ignorase el lugar de la notificación, o bien intentada la notificación, no se hubiese podido practicar. 5) El Consejo Superior de los Colegios de Arquitectos de España resolvió el 23/10/2014 que la DENUNCIANTE 1 había cometido una falta leve (242 a 254). 6) La denunciada aportó copia de la cláusula informativa que proporcionó a los denunciantes, tratándose de un modelo standard titulado “Autorización” apareciendo una fechada a 13/03/2001, y la de DENUNCIANTE 1 sin fechar. Precisa que autoriza la incorporación de sus datos a un fichero del Colegio. Entre los fines que se consignan figuran los de enviar información relacionada con el Colegio y con la actuación profesional que estimen de interés-aunque revista naturaleza publicitaria - e incluirlos en un listado de profesionales accesibles al público, en el que figuraran el nombre dirección y teléfono profesional, fax, dirección electrónica fecha del título y de incorporación al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/21 Colegio (259, 261). “E igualmente autorizo para el tratamiento de los datos que resulten de los escritos, proyectos y demás trabajos que presente en el Colegio, así como de los expedientes de toda clase que tramite el Colegio”. El documento no da opción a oponerse a algún tipo de tratamiento de los enumerados para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II La LOPD tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar. La inclusión de este arto 1 en la nueva LOPD ha venido a consagrar en nuestro Ordenamiento, el denominado derecho a la "autodeterminación informativa" o a la "libertad informática", al que profusamente se habían venido refiriendo la doctrina científica y el TC al interpretar el arto 18,4 CE. En el desarrollo de dicho principio, el consentimiento del afectado se convierte en pilar básico para el tratamiento de datos, garantía elemental conferir al ciudadano el poder de controlar el flujo de información relativa a su persona, para lo que resulta indispensable conocer y consentir su almacenamiento y uso. La excepción del consentimiento reside en los casos en que legalmente no sea necesario su obtención y que vienen tasados por la Ley. III En cuanto a la consideración de fichero que tiene un sitio web como el de la página de la denunciada, donde se publicaron los datos la Directiva 95/46/CE define el fichero en su artículo 2 como todo conjunto estructurado de datos personales, accesibles con arreglo a criterios determinados, ya sea centralizado, descentralizado o repartido de forma funcional o geográfica. Nuestra Ley lo define en su artículo 3 como "
- b)Fichero: todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso." Así, todo fichero de datos exige para tener esta consideración una estructura u organización con arreglo a criterios determinados. El mero cúmulo de datos sin criterio alguno no podrá tener la consideración de fichero a los efectos de la ley. Íntimamente vinculado al concepto de fichero está el de tratamiento de datos. La Directiva nos dice sobre esta cuestión que el concepto de "tratamiento" no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/21 puede depender de la técnica utilizada para el manejo de los datos, de ahí que incluya tanto el tratamiento automatizado como el manual (considerando 27 de su Preámbulo). Así J lo relevante para que estemos ante un "tratamiento de datos personales" es la realización de determinadas actuaciones en relación con los mismos, actuaciones que en su descripción son muy amplias y variadas. Desarrollando este principio el artículo 2 de la Directiva describe las actuaciones que aplicadas a los datos personales constituyen "tratamiento": "cualquier operación o conjunto de operaciones, efectuadas o no mediante procedimientos automatizados, y aplicadas a datos personales, como la recogida, registro, organización, conservación, elaboración o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma que facilite el acceso a los mismos, cotejo o interconexión, así como su bloqueo, supresión o destrucción". Nuestra ley lo define de forma muy similar en el arto 3.
- c)de la LOPD: "Tratamiento de datos: operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias. " No basta, sin embargo, la realización de una de estas actuaciones en relación con datos personales para que la ley despliegue sus efectos protectores y sus garantías y derechos del afectado. Es preciso algo más: que las actuaciones de recogida, grabación, conservación, etc... se realicen de forma automatizada o bien, si se realizan de forma manual, que los datos personales estén contenidos o destinados a un fichero. La Directiva fija en su artículo 3 que sus disposiciones se aplicarán al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero. La LOPD, por su parte, describe en su artículo 2 su ámbito de aplicación mediante una descripción general positiva más genérica que la de la Directiva: será de aplicación a los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado. Pues bien, un sitio web exige siempre cualquiera que sea su finalidad una organización o estructura que permita el acceso a la información en él contenida por terceros. Cumpliría así la primera de las exigencias de un fichero, la estructural u organizativa. Pero es que además, y esto es obvio, el sitio Web de la denunciada contuvo datos de carácter personal, precisamente los referidos a los denunciantes, que fueron difundidos a través de dicho sitio, lo que supone tratamiento en el sentido antes expresado. Si hubo tratamiento de datos de carácter personal consistente en la incorporación y difusión de éstos desde una estructura organizada (fichero) como era el sitio web, es indudable que el régimen de protección contenido en la LOPD es C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/21 plenamente aplicable. Finalmente, y para agotar esta materia, el propio Tribunal de Justicia de la Unión Europea, en la sentencia de 6/11/2003 (caso Lindqvist. Asunto C-101/01) abordó la cuestión que estamos tratando, señalando lo siguiente: "El concepto de «datos personales» que emplea el artículo 3, apartado 1, de la Directiva 95/46 comprende, con arreglo a la definición que figura en el artículo 2, letra a), de dicha Directiva «toda información sobre una persona física identificada o identificable». Este concepto incluye, sin duda, el nombre de una persona junto a su número de teléfono o a otra información relativa a sus condiciones de trabajo o a sus aficiones. En cuanto al concepto de «tratamiento» de dichos datos que utiliza el artículo 3, apartado 1, de la Directiva 95/46, éste comprende, con arreglo a la definición del artículo 2, letra b), de dicha Directiva, «cualquier operación o conjunto de operaciones, efectuadas o no mediante procedimientos automatizados, y aplicadas a datos personales». Esta última disposición enumera varios ejemplos de tales operaciones, entre las que figura la comunicación por transmisión, la difusión o cualquier otra forma que facilite el acceso a los datos. De ello se deriva que la conducta que consiste en hacer referencia, en una página web, a datos personales debe considerarse un tratamiento de esta índole. Queda por determinar si dicho tratamiento está «parcial o totalmente automatizado». A este respecto, es preciso observar que difundir información en una página web implica, de acuerdo con los procedimientos técnicos e informáticos que se aplican actualmente, publicar dicha página en un servidor, así como realizar las operaciones necesarias para que resulte accesible a las personas que están conectadas a Internet. Estas operaciones se efectúan, al menos en parte, de manera automatizada. Por tanto, procede responder a la primera cuestión que la conducta que consiste en hacer referencia, en una página web, a diversas personas y en identificarlas por su nombre o por otros medios, como su número de teléfono o información relativa a sus condiciones de trabajo y a sus aficiones, constituye un «tratamiento total o parcialmente automatizado de datos personales» en el sentido del artículo 3, apartado 1, de la Directiva 95/46. " Se imputa a la denunciada la comisión de una infracción del artículo 6.1 de la LOPD basada en el tratamiento a través de su web en dos ocasiones y momentos distintos de los datos de carácter personal de los denunciantes sin consentimiento de los afectados y sin habilitación normativa para ello. El artículo 6.1 y 2 indica: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/21 o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6 , de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. En el presente supuesto, publicar y hacer posible el acceso a los datos de los denunciantes dentro de la memoria referidos a que se va a poner en conocimiento de la Comisión Deontológica sus acciones y accesible a través de la web en abierto, no aparece previsto en norma alguna y no cuenta con el consentimiento de los afectados. Tampoco en la Memoria se prevé que se puedan contener datos de carácter personal con los expedientes que se van a comenzar, ni menos que dichos datos se expongan en web alguna. (Artículo 11 de la Ley de Colegios Profesionales). La Junta de Gobierno formaliza el 5/02/2013 un acuerdo para poner en conocimiento de la Comisión Deontológica unos hechos de los denunciantes, y la misma Junta decide su incorporación a la Memoria Anual 2013 que debe ser elevada a la Asamblea General para su aprobación el 6/05/2014, decidiendo luego la exposición en la web. Si bien estuvieron disponibles un breve espacio de tiempo, ello no es óbice para que la infracción se haya cometido. Tampoco aparece previsto en norma alguna la difusión en la web de la denunciada de una reseña de notificación de la que la misma no era autora y que no se ajusta a la vía regulada administrativamente para notificación de los actos administrativos en caso de que intentada la notificación, no se hubiese podido practicar (artículo 59.5 de la Ley 30/1992). La manifestación de que el CSCAE ordenó su exposición carece de relevancia en la responsabilidad de la denunciada que es la titular de la web y dado que un sitio web es un fichero, ha tratado los datos en dicho fichero automatizado, figurando todavía a 1/06/2015. En ningún extremo se contiene que el CSCAE diera la orden de exponer en la web de la denunciada la reseña de notificación. Se acredita así el doble tratamiento de datos llevado a cabo sin consentimiento de los afectados. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/21 Respecto a la ilegalidad del acuerdo de inicio por cuanto supuestamente se crea indefensión al preguntar en actuaciones previas sobre la aparición en mayo 2014 de un documento con los datos de los denunciantes en la web, y hacer también referencia en el acuerdo de inicio a la publicación en “noticias” de la página web a los datos de la denunciante por, supuestamente no haber podido notificarse la resolución en virtud del artículo 59.5 de la Ley 30/1992. Al efecto, se debe manifestar: El acuerdo de inicio refiere ambos aspectos, lo solicitado en actuaciones previas, suficiente de por si para el inicio del acuerdo de inicio, y el añadido de la ampliación de la denuncia, con el documento que aparece en la web de la denunciada a efectos de notificarle una resolución. Ambos dos, constituyen los indicios acusatorios que se reflejan en el acuerdo de inicio y contra el que pueden efectuar las alegaciones que consideren oportunas y acudir a dicha sede con los medios probatorios que considere necesarios sin que se haya producido violación de principio alguno del derecho sancionador por ello, ni específicamente indefensión en ningún grado. Al efecto, debe referirse que las actuaciones previas pueden practicarse o no, en este caso se han practicado con un resultado y el acuerdo de inicio refiere dicha respuesta, más otra acumulación de hechos que la denunciada puede combatir y acreditar su ajuste a la normativa de protección de datos, por ello no se considera que el acuerdo de inicio no cumpla con la legalidad vigente. En cuanto al posible conflicto alegado por la denunciada entre transparencia y protección de datos, no se considera que pueda existir un interés legítimo al conocimiento por terceros que se va a poner en conocimiento del órgano disciplinario las acciones de los denunciantes, sobre todo porque se insertaba en el marco de la Memoria anual y la exposición de dichos datos se produce en una fase inicial del proceso, no resultando pues proporcional. El principio de transparencia propugna el acceso a expedientes finalizados y este no lo era, además, la materia no se ha de incluir en una memoria anual que tiene un carácter genérico de gestión total, debiendo abarcar en su caso datos disociados. Además el hecho de haber acordado la Junta de Gobierno remitir unas actuaciones está condicionado porque a ello se subordina un procedimiento con las garantías legalmente establecidas en la que prima la presunción de inocencia, y la difusión y puesta en conocimiento de los hechos no ha de ser difundida a terceros a través de la exposición en la web. El procedimiento administrativo se iniciaría a la postre, pero incluso antes de iniciarse, cabe mantener el secreto de datos y no el tratamiento de los mismos a través de su exposición por la denunciada. Junto a ello, la Ley 19/2013 de 9/12, de transparencia, acceso a la información pública y buen gobierno establece el principio de publicidad activa en su artículo 5.1 que indica: “Los sujetos enumerados en el artículo 2.1 publicarán de forma periódica y actualizada la información cuyo conocimiento sea relevante para garantizar la transparencia de su actividad relacionada con el funcionamiento y control de la actuación pública.” Sin embargo lo delimita C/ Jorge Juan, 6 28001 – Madrid en su apartado 3:” Serán de aplicación, en su caso, los www.agpd.es sedeagpd.gob.es 16/21 límites al derecho de acceso a la información pública previstos en el artículo 14 y, especialmente, el derivado de la protección de datos de carácter personal, regulado en el artículo 15. A este respecto, cuando la información contuviera datos especialmente protegidos, la publicidad sólo se llevará a cabo previa disociación de los mismos.” En su caso, se prevén los instrumentos para ello en el apartado 4:“La información sujeta a las obligaciones de transparencia será publicada en las correspondientes sedes electrónicas o páginas web y de una manera clara, estructurada y entendible para los interesados y, preferiblemente, en formatos reutilizables. Se establecerán los mecanismos adecuados para facilitar la accesibilidad, la interoperabilidad, la calidad y la reutilización de la información publicada así como su identificación y localización.” El artículo 14 de la citada Ley indica que el derecho de acceso puede ser limitado “cuando acceder a la información suponga un perjuicio para:
- e)La prevención, investigación y sanción de los ilícitos penales, administrativos o disciplinarios.” Finalmente el artículo 15.1 párrafo segundo precisa: “Si la información incluyese datos especialmente protegidos a los que se refiere el apartado 3 del artículo 7 de la Ley Orgánica 15/1999, de 13 de diciembre, o datos relativos a la comisión de infracciones penales o administrativas que no conllevasen la amonestación pública al infractor, el acceso sólo se podrá autorizar en caso de que se cuente con el consentimiento expreso del afectado o si aquél estuviera amparado por una norma con rango de Ley.” Se insiste en que el artículo la 49.1 del Real Decreto 327/2002, de 5/04, por el que se aprueban los Estatutos Generales de los Colegios Oficiales de Arquitectos y su Consejo Superior, indica que las sanciones no se ejecutarán ni se harán públicas en el boletín o circular colegial mientras no sean firmes y que la sanción primera no será publicada en ningún caso. En el presente supuesto, los datos de los denunciantes se expusieron en una primera ocasión en una Memoria anual, se trataba de la fase inicial de puesta en conocimiento del órgano competente de los hechos, sujetos a la instrucción de sus expedientes, no existe norma estatutaria del Colegio que apoye la exposición de las sanciones disciplinarias, ni le resultaría aplicable el principio de transparencia en el acceso a la información pública. Por otro lado, el hecho de consultar al Gabinete Jurídico de esta Agencia, cuando los datos ya habían sido expuestos y el acceso imposibilitado desde 7/05/2014 no merma en sentido alguno la responsabilidad imputada, pues una vez cometida la infracción no cabe consultar el sentido de la misma. La naturaleza de la información que se facilita es una mera suposición de infracción de normas deontológicas que no permite ni estatutaria ni por razón de la materia de la memoria anual implantarse en la web en modo abierto, y ante la duda en el tratamiento de datos procede la cautela de abstenerse de la misma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/21 Por otra parte, la información que se publica en Internet puede ser consultada en cualquier momento por un número indeterminado de personas que residen en múltiples lugares. La ubicuidad de esta información se debe, en particular, a que los medios técnicos empleados para acceder a Internet son relativamente sencillos y cada vez menos costosos. Teniendo en cuenta el uso intensivo de Internet el número de destinatarios posibles es muy numeroso. En este caso se contabilizaron 366 peticiones al documento objeto de la denuncia contenido en la Memoria como el informe técnico informática indica. Tampoco se ha puesto de manifiesto que existiera un interés general en conocer la información que se facilitaba en el sitio Web. La trascendencia que sobre el crédito personal de la denunciante tiene la información facilitada en la Web es indudable y no puede ser minimizada, teniendo en cuenta el número posible de destinatarios por razón del medio utilizado. El motivo de la transparencia alegado, además de ser genérico no tiene concreción en el acto comunicado y no puede ser estimado. Tampoco el resumen o aviso, edicto o escrito de notificación supuestamente infructuosa de una resolución administrativa a través de su web de un acto administrativo es asumible en estas circunstancias, no es acorde con la normativa reguladora del régimen de constancia de los citados actos. V Sobre la alegación de que se dispone del consentimiento de los afectados se debe indicar que la ficha “autorización” que acompaña la denunciada es o supone el cumplimiento por su parte del deber de informar del tratamiento de datos de en este caso a los denunciantes como Colegiados. Esa información unilateral indica que con los datos y derivado de su condición los mismos van a ser tratados y se informa en tal sentido. Ello no ampara los tratamientos no acordes con la LOPD como han sido la exposición en la web en abierto, dentro de la memoria anual 2013, de los datos de los denunciantes en referencia a que se va a poner en conocimiento de la Comisión Deontológica unas determinadas acciones producidas. El marco normativo vigente debe presidir el tratamiento de datos y en este tampoco se prevé la exposición en la web de la denunciada de la reseña edictal de una notificación administrativa que supuestamente resulta infructuosa. Motivos por los que si bien existe relación jurídica entre las partes y habilitación para el tratamiento de datos, este ha de ser acorde con la normativa vigente, LOPD y demás normativa de aplicación, y en ambos casos denunciados no fue así Sobre el amparo en el artículo 6.2 de la LOPD por el ejercicio de las funciones propias de en el ámbito de sus competencias, se debe reiterar que el ejercicio de las mismas no abarca la extralimitación en la disposición que de los datos de los denunciantes se realiza, no pudiendo prosperar pues los datos identificativos de personas no han de estar presentes en la Memoria Anual sin su consentimiento, aunque hicieran referencia a la puesta en conocimiento de la comisión competente. En el mismo sentido cabe apreciar el uso de los datos de denunciante 1 a efectos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/21 notificación. Precisamente el ejercicio de las funciones propias administrativas del ente no permiten sino que remiten a la publicación en caso habilitante para ello, pero en BOE, siempre que se den las circunstancias previas del 59.5 de la ley 30/1992. En cuanto la alegación de la fecha hasta la que estuvieron expuestos los datos de los denunciantes que se incluían en la memoria de gestión, se debe hacer constar que el 7/05/2014, el acceso daba error, pero la denunciada en acta notarial accede el 27 del mismo mes. El acceso se produce en la versión caché, lo que sirve para acreditar que ese documento ha estado expuesto durante un período previo. La propia denunciada en el informe aportado en alegaciones a la propuesta determina el periodo desde el que se produjeron las consultas, entre el 25/04 y el 7/05/2014 y el total de accesos: 366, suficiente para entender que se cometió la infracción y el resultado de accesos. VI La infracción del tratamiento sin consentimiento se tipifica en el artículo 44.3.
- b)que indica: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. VII El Real Decreto 327/2002, de 5/04 que aprueba los Estatutos Generales de los Colegios Oficiales de Arquitectos y su Consejo Superior indica en el artículo 46.2: “Las resoluciones serán notificadas íntegramente a los interesados con indicación de los recursos que procedan con arreglo a lo previsto en los artículos 38 y 39, y plazos para interponerlos.” No se prevé la notificación a través de web alguna. En todo caso, se podría haber publicado en el BOE, si concurrieran las circunstancias del artículo 59.5. El citado artículo indica: “Cuando los interesados en un procedimiento sean desconocidos, se ignore el lugar de la notificación o el medio a que se refiere el punto 1 de este artículo, o bien intentada la notificación, no se hubiese podido practicar, la notificación se hará por medio de un anuncio publicado en el "Boletín Oficial del Estado". Es decir, antes de la publicación, en su caso en el BOE, no en la web, se ha de practicar la notificación individualizada, repitiendo que lo que se notifica lo fue en el apartado “noticias”, de acceso generalizado y además se trata de un acuerdo adoptado el 23/10/2014 que se traslada al COACYLE y tiene entrada en este el 31/03/2015, añadiéndose en el literal que el texto de dicho acuerdo se encuentra depositado en la sede del COACYLE en aras a la mayor protección de la intimidad, cuando previamente ha proporcionado los datos de la denunciante junto con su DNI. VIII La otra infracción producida es la de violación de custodia de los datos de carácter personal de los miembros pertenecientes a una corporación profesional por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/21 parte de la denunciada que debe ser la que guarde los mismos y restrinja la puesta en conocimiento a terceros de dichos datos. En este caso se infringe el artículo 10 de la LOPD que indica: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así el Tribunal Superior de Justicia de Madrid ha declarado en su sentencia n. 361, de 19/07/01: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. El hecho constatado de la exposición de los dos documentos en la web de la denunciada establece la base de facto para fundamentar la imputación de las infracciones de los artículos 6.1 y 10 de la LOPD, constituyendo prueba de cargo suficiente para desvirtuar la presunción de inocencia de la denunciada. No obstante, nos encontramos ante un supuesto en el que un mismo hecho deriva en dos infracciones dándose la circunstancia que la comisión de una implica necesariamente la comisión de la otra. Esto es, si se exponen en la web documentos con datos a la vista y acceso de cualquier persona, se están tratando los datos sin consentimiento de los afectados, y como consecuencia, conociéndose por terceros. Por lo tanto, aplicando el artículo 4.4 del Real Decreto 1398/1993, de 4/08, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora (REPEPOS) indica “En defecto de regulación específica establecida en la norma correspondiente, cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deberá imponer únicamente la sanción correspondiente a la infracción más grave cometida.”. El citado precepto viene a regular el denominado concurso ideal de infracciones que se resuelve mediante la imposición de la sanción correspondiente a la infracción más grave cometida, procede pues subsumir ambas infracciones en una. Dado que, en este caso, ambas infracciones están tipificadas como graves, se considera que procede imputar únicamente la infracción del artículo 6.1 de la LOPD como infracción originaria que ha implicado la comisión de otra. No habiéndose detectado que los documentos y datos objeto de denuncia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/21 subsistan en la web de la denunciada, no se considera necesario imponer o requerir ninguna media relacionada con la infracción. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que COLEGIO OFICIAL DE ARQUITECTOS DE CASTILLA Y LEÓN ESTE ha infringido lo dispuesto en el artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de la citada Ley Orgánica. SEGUNDO: ARCHIVAR la infracción del artículo 10 de la LOPD imputada al COLEGIO OFICIAL DE ARQUITECTOS DE CASTILLA Y LEÓN ESTE. TERCERO: NOTIFICAR la presente resolución al COLEGIO OFICIAL DE ARQUITECTOS DE CASTILLA Y LEÓN ESTE junto con el ANEXO GENERAL, a DENUNCIANTE 1 con el ANEXO 1, y a DENUNCIANTE 2 con el ANEXO 2. CUARTO: COMUNICAR la presente resolución al DEFENSOR DEL PUEBLO, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21/12, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26/11, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contenciosoadministrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/21 cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es