AAPP-00050-2013

1/13 Procedimiento NºAP/00050/2013 RESOLUCIÓN: R/00691/2014 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00050/2013, instruido por la Agencia Española de Protección de Datos a la entidad FEDERACION BALEAR DE CAZA, vista la denuncia presentada por D. A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 18 de enero de 2013, tiene entrada en esta Agencia un escrito de D. A.A.A. (en lo sucesivo el denunciante), en el que denuncia que, en la página web de la Federación Balear de Caza: www.Balcaza.com, están expuestos al público los datos personales de todos los deportistas censados, siendo dicha información de acceso público. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 21 de mayo de 2013, se recibe en esta Agencia escrito de la Federación Balear de Caza, en el que pone de manifiesto lo siguiente: 1.1. La publicación de los datos se realiza de forma temporal durante el periodo que dura el proceso electoral a nuevos miembros asambleístas y nuevo Presidente de la Federación, y que se realiza cada cuatro años. 1.2. Se realiza en base al artículo 35 del Real Decreto 86/2008, de 1 de agosto, por el que se desarrollan y regulan los procesos electorales de las Federaciones deportivas de las Islas Baleares, el cual dice que se confeccionará el censo electoral con los datos de nombre y apellidos, edad, DNI y número de licencia. También recogido en la Resolución del Conseller de Turismo y Deportes de 21 de diciembre de 2011. 1.3. El Anexo B-1 de la citada Resolución en su artículo 2 dice, entre otros: “…..el censo se ha de exponer en la sede de la Federación, en todos los locales sociales de que disponga, en las delegaciones insulares, si hay, en la página web federativa y también en el tablón de anuncios de la Dirección General de Deportes, de manera simultánea……….” 1.4. El proceso de publicación online es seguido de forma unánime por todas las Federaciones deportivas, nacionales o autonómicas, en sus procesos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 electorales. Con este proceso la Federación da cumplimiento a lo exigido por el Decreto 86/2008 y la Resolución de la Consellería de Turismo y Deportes de la que depende. TERCERO: Con fecha 16 de diciembre de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas a la FEDERACION BALEAR DE CAZA por la presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el apartado

1. d)del artículo 44.3de dicha norma. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, la FEDERACION BALEAR DE CAZA presentó escrito de alegaciones en el que, en síntesis, manifestaba que: “… el Acuerdo adolece de evidente defectos de forma invalidantes que ocasionan una flagrante indefensión a la Federación y una evidente vulneración de su derecho de defensa, en tanto que se le impide conocer aspectos esenciales del procedimiento sancionador abierto contra ella como son la concreta actuación que se le imputa y que determina la apertura del expediente, así como las posibles sanciones a las que se enfrenta, (…) …interesa poner de manifiesto que la Federación Balear de Caza es una entidad colaboradora de la Administración al ejercer, por delegación, funciones públicas de carácter administrativo, entre las que se encuentra la organización y desarrollo de los procesos electorales. Como consecuencia del carácter administrativo de la Federación, el procedimiento seguido contra ésta es claramente erróneo y contrario a Ley, pues en lugar de abrir procedimiento de declaración de infracción deberían haberse aplicado las previsiones del artículo 46 de la LOPD titulado “Infracciones de las Administraciones Públicas”, (…) … en el ámbito de la Comunidad Autónoma de las Illes Balears la celebración de los procesos electorales está regulada por el Decreto 86/2008 el cual, en su artículo 35, determina lo siguiente: “Las federaciones deportivas han de confeccionar el censo electoral. Este ha de estar dividido por estamentos y ha de contener los siguientes datos: nombre, apellidos, edad, DNI y número de licencia (...)“ (…) En desarrollo del Decreto 86/ 2008 se dictó la Resolución en cuyos anexos se establecen los modelos de documentos electorales que, obligatoriamente, deben elaborar y aprobar todas las Federaciones deportivas de las Illes Balears en sus respectivos procesos electorales en función del sistema de composición asamblearia elegido. El Anexo B-1 de la Resolución recoge el modelo de Reglamento electoral que debían aprobar todas aquellas Federaciones que optaran por el sistema de representación por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 estamentos, como fue nuestro caso. Como puede claramente observarse, el citado modelo de Reglamento electoral establece en su artículo 2 lo siguiente: (…) “… EL CENSO SE HA DE EXPONER en la sede de la Federación, en todos los locales sociales de que disponga, en las delegaciones insulares, si hay, EN LA PÁGTNA WEB FEDERATIVA y también en el tablón de anuncios de la Dirección General de Deportes, de manera simultánea…” (…) Siguiendo con el caso balear, el censo electoral no sólo debe ser publicado en la página web sino que, por exigencias del Decreto 86/2008 y la Resolución, también debe ser expuesto en el tablón de anuncios de la Federación y en el de la Dirección General de Deportes (“DGD”), por lo que el acceso a su contenido es igualmente público y fácil por cualquier tercero interesado, no existiendo en la práctica ninguna diferencia entre su exposición en el tablón de anuncios de un organismo de la Administración pública y su publicación en una página web. (…)” Concluyen las alegaciones solicitando que se acuerde: “1. Declarar nulo el Acuerdo de inicio de procedimiento de declaración de infracción de administraciones públicas de fecha 16 de diciembre de 2013 abierto contra la Federación Balear de Caza por incurrir en defectos de forma invalidantes, falta de tipificación y de litisconsorcio pasivo necesario y haber sido dictado prescindiendo total y absolutamente del procedimiento legal establecido. 2. Subsidiariamente, para el improbable caso de que no se decrete la nulidad del acto y previa audiencia de los interesados, acordar el archivo de las presentes actuaciones y, en su lugar, apercibir a la Federación Balear de Caza a fin de que ésta acredite en el plazo que la Agencia determine, las medidas correctoras pertinentes, y ello por concurrir en este caso los supuestos previstos en el artículo 45.6 de la LOPD. 3. A su vez, subsidiariamente a los dos puntos anteriores, decretar el archivo inmediato de la denuncia por no haber incurrido la Federación Balear de Caza en la infracción prevista en el artículo 44.3.
2. d)de la LOPD, y abrir en su lugar expediente contra la Consellería de Turisme y Esports de las Illes Balears, con domicilio a estos efectos en c/ Montenegro 5, 07012 de Palma de Mallorca. 4. A su vez, subsidiariamente, ampliar el acuerdo de inicio de procedimiento de declaración de infracción de administración contra la Consellería de Turisme y Esports de las Illes Balears, la cual deberá ser llamada al procedimiento en calidad de codemandado.” Solicita también “la práctica de prueba consistente en que se dirija oficio a la Conselleria de Turisme y Esports, a los efectos de que expida informe legal sobre la adecuación del Decreto 86/2008, de 1 de agosto, por el que se desarrollan y regulan los procesos electorales de las federaciones deportivas de las Islas Baleares y de la Resolución del Conseller de Turismo y Deportes de 21 de diciembre de 2011, por la cual se establece el inicio de los procesos electorales de las federaciones deportivas de las Illes Balears para la constitución de las asambleas generales respectivas y para la elección de los presidentes correspondientes a las vigentes disposiciones de la LOPD, en especial en relación a la obligatoriedad de las federaciones deportivas de publicar el censo electoral en sus respectivas páginas webs.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 QUINTO: Con fecha 24 de enero de 2014 se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, acordándose practicar las siguientes: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por D. A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección antela FEDERACION BALEAR DE CAZA, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/01112/2013. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio AP/00050/2013 presentadas por la FEDERACION BALEAR DE CAZA, y la documentación que a ellas acompaña. SEXTO: Con fecha 20 de marzo de 2014, el Instructor del procedimiento emitió Propuesta de Resolución, en el sentido de que por el Director de la Agencia Española de Protección de Datos se declare que la FEDERACION BALEAR DE CAZAha infringido lo dispuesto en el artículo 10 de la LOPD, lo que supone una infracción tipificada como grave en el artículo 44.3.
3. d)de la citada norma, así como que se requiera la adopción de las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 10 de la mencionada Ley. SÉPTIMO: Notificada la propuesta de resolución, la entidad FEDERACION BALEAR DE CAZA realizó alegaciones frente a la misma en las que comunica: “PRIMERO.- Que, como ya se ha indicado en repetidas ocasiones, el censo electoral únicamente estuvo publicado durante el tiempo que duró el proceso electoral, por lo que hace ya más de un año que la pretendida infracción de la LOPD que se imputa a esta parte ha sido debidamente subsanada. SEGUNDO.- Que, de cara a futuros procesos electorales, la Federación Balear de Caza implantará un sistema informático que limite el acceso al censo electoral única y exclusivamente a los interesados en el procedimiento, impidiendo así su acceso y el conocimiento de su contenido a terceros no autorizados ajenos a la Federación.” HECHOS PROBADOS PRIMERO: Con fecha 18 de enero de 2013, tiene entrada en esta Agencia un escrito en el que se denuncia que, en la página web de la Federación Balear de Caza: www.balcaza.com, están expuestos al público los datos personales de todos los deportistas censados, siendo dicha información de acceso público. (folios 1 a 4) SEGUNDO: Con fecha 22 de febrero de 2013 se constata, por la Inspección de esta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 Agencia, que en la URL: www.balcaza.............., de la Federación Balear de Caza, se encuentra accesible el fichero objeto de denuncia y que es posible acceder a él sin limitaciones y sin que exista un sistema de identificación y autenticación de usuarios. Es el fichero del Censo 2012 de federados con derecho a voto en Mallorca entre los que se encuentran los datos personales del denunciante: DNI, nombre y apellidos y fecha de nacimiento. (folios 6 a 8) TERCERO: Solicitada información a la Federación Balear de Caza, con fecha 21 de mayo de 2013, manifestó que la publicación de los datos se realiza de forma temporal durante el periodo que dura el proceso electoral a nuevos miembros asambleístas y nuevo Presidente de la Federación, y que se realiza cada cuatro años. Con este proceso, la Federación manifiesta que da cumplimiento a lo exigido por el Decreto 86/2008 y la Resolución del Conseller de Turisme y Esports de 21 de diciembre de 2011. (folios 13 a 16) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
4. g)en relación con el artículo 36 de la LOPD. II El artículo 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados.” El artículo 17.1 de la Directiva 95/46/CE, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” La LOPD traspuso al ordenamiento interno el contenido de la Directiva 95/46, y en su artículo 1 dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma Ley Orgánica establece: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. El artículo 3.
5. a)de la LOPD define los datos de carácter personal como: ”Cualquier información concerniente a personas físicas identificadas o identificables”. Añadía el artículo 1.4 del Real Decreto 1332/1994 (en vigor cuando se produjeron los hechos que estamos analizando) que dato de carácter personal es “toda información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, susceptible de recogida, registro, tratamiento o transmisión concerniente a una persona física identificada o identificable.” En similares términos se expresa en su artículo 5.
6. f)el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, en vigor desde el pasado 19 de abril de 2008. Por su parte el artículo 3.
7. d)de la LOPD define al responsable del fichero o tratamiento como la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” A su vez, el artículo 3.
8. c)de la LOPD define el tratamiento de datos personales en los siguientes términos: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” III Con carácter previo a la concreta imputación realizada en el presente procedimiento de declaración de infracción de administraciones públicas deben considerarse una serie de cuestiones. En primer lugar se ha alegado que el acuerdo de inicio notificado tiene defectos formales, por no cumplir con el contenido mínimo exigido por la Ley. El acuerdo de inicio del presente procedimiento sancionador contiene una sucinta referencia a los hechos que lo motivaron y su posible calificación jurídica, conforme a lo dispuesto en el artículo 13.1 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, en el que se dispone lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 siguiente: “1. La iniciación de los procedimientos sancionadores se formalizarán con el contenido mínimo siguiente:
9. a)Identificación de la persona o personas presuntamente responsables.
10. b)Los hechos sucintamente expuestos que motivan la incoación del procedimiento, su posible calificación y las sanciones que pudieran corresponder, sin perjuicio de lo que resulte de la instrucción.
11. c)Instructor y, en su caso, Secretario del procedimiento, con expresa indicación del régimen de recusación de los mismos.
12. d)Órgano competente para la resolución del expediente y norma que le atribuya tal competencia, indicando la posibilidad de que el presunto responsable pueda reconocer voluntariamente su responsabilidad, con los efectos previstos en el artículo 8.
13. e)Medidas de carácter provisional que se hayan acordado por el órgano competente para iniciar el procedimiento sancionador, sin perjuicio de las que se puedan adoptar durante el mismo de conformidad con el artículo 15.
14. f)Indicación del derecho a formular alegaciones y a la audiencia en el procedimiento y de los plazos para su ejercicio”. Desde la perspectiva procedimental cabe preguntarse si se ha generado indefensión a la entidad denunciada porque se hayan mermado sus posibilidades de defensa. En todo procedimiento sancionador es exigible que se respeten los derechos de defensa con interdicción de indefensión, los artículos 24 y 25 de la Constitución disponen, entre otras garantías, el derecho a no ser sancionado sin ser oído y, a ejercer el derecho a alegar con contradicción en todas las fases del procedimiento. En el presente acuerdo de inicio se advertía a la entidad denunciada sobre los hechos específicos que motivan el procedimiento y que su actuación en los mismos podría suponer una vulneración de lo dispuesto en el artículo 10 de la LOPD. No se expresan las sanciones que pudieran corresponder porque en un procedimiento como el iniciado, de declaración de infracción de administraciones públicas, no se contemplan sanciones pecuniarias. Pues bien, las alegaciones realizadas por la Federación denunciada frente al acuerdo de incoación del presente procedimiento, además de negar la realización de una conducta infractora, se centran en resaltar que la publicación en su página web de los datos personales de sus miembros incluidos en el censo 2012 se hizo conforme a la Ley. Así, ninguna indefensión se ha generado a la entidad denunciada toda vez que no se mermado su facultad de alegar y proponer prueba respecto a los hechos imputados, la vulneración del deber de secreto de los datos personales del denunciante. Alega también la entidad denunciada que como consecuencia del carácter administrativo de la Federación, el procedimiento seguido contra ésta es claramente erróneo y contrario a la Ley, pues en lugar de abrir procedimiento de declaración de infracción deberían haberse aplicado las previsiones del artículo 46 de la LOPD “Infracciones de las Administraciones Públicas”. A este respecto cabe contestar que en la parte dispositiva del acuerdo de inicio notificado, el Director de esta Agencia acuerda iniciar procedimiento de Declaración de Infracción de Administraciones Públicas a la entidad Federación Balear de Caza con arreglo a lo dispuesto en el artículo 46 de la LOPD. De manera que es el artículo 46 de la LOPD el que se utiliza para el inicio del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 presente procedimiento, teniendo en cuenta el carácter de agente colaborador de la Administración Pública de la Federación denunciada en la ordenación de los procesos electorales en los que ejercen, por delegación, funciones públicas de carácter administrativo. IV La entidad denunciada en las alegaciones al acuerdo de inicio propuso como medio de prueba “que se dirija oficio a la Conselleria de Turisme y Esports, a los efectos de que expida informe legal sobre la adecuación del Decreto 86/2008, de 1 de agosto, por el que se desarrollan y regulan los procesos electorales de las federaciones deportivas de las Islas Baleares y de la Resolución del Conseller de Turismo y Deportes de 21 de diciembre de 2011, por la cual se establece el inicio de los procesos electorales de las federaciones deportivas de las Illes Balears para la constitución de las asambleas generales respectivas y para la elección de los presidentes correspondientes a las vigentes disposiciones de la LOPD, en especial en relación a la obligatoriedad de las federaciones deportivas de publicar el censo electoral en sus respectivas páginas webs.” En relación con los medios de prueba propuestos, hay que indicar que se considera innecesaria su práctica toda vez que el informe que se propone solicitar a la Consellería de Turisme y Esports no se considera que vaya a incidir en el esclarecimiento de los hechos imputados y que son objeto de competencia de esta Agencia Española de Protección de Datos. En cualquier caso cabe recordar que el artículo 17.3 del Real Decreto 1398/1993 dispone que “la práctica de las pruebas que el órgano instructor estime pertinentes, entendiéndose por tales aquellas distintas de los documentos que los interesados puedan aportar en cualquier momento de la tramitación del procedimiento, se realizará de conformidad con lo establecido en el artículo 81 de la Ley 30/1992, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común.” En este caso se informa de que puede aportar en su defensa en cualquier momento del procedimiento toda la documentación que considere necesaria para la defensa de sus intereses. V El artículo 10 de la LOPDque se considera infringido dispone "El responsable del fichero y quienes intervengan en cualquier fase de tratamiento de los datosde carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero, o, en su caso, con el responsable del mismo". El artículo 10 de la LOPD contiene una regla que afecta a la confidencialidad como parte de la seguridad de los datos de carácter personal, tratando de salvaguardar el derecho de las personas a mantener la privacidad de tales datos y, en definitiva, el poder de control o disposición sobre los mismos. El deber de secreto trata de salvaguardar o tutelar el derecho de las personas a mantener la privacidad de sus C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 datosde carácter personal y en definitiva el poder de control o disposición sobre sus datos. Este deber de secreto está lógicamente relacionado con el secreto profesional. Según el ATC de 11 de diciembre de 1989 "el secreto profesional se entiende como la sustracción al conocimiento ajeno, justificada por razón de una actividad, de datoso informaciones obtenidas que conciernen a la vida privada de las personas". El deber de secreto en el tratamiento de datospersonales, tiene la misma fundamentación jurídica, pero se refiere al ámbito estricto del tratamiento de los datospersonales, para que el responsable del fichero y, cualquier persona que intervenga en el tratamiento, esté obligado al mantener la confidencialidad de los datospersonales”. En este sentido el deber de sigilo como hemos señalado en las SSAN, Sec. 1ª, de 14 de septiembre de 2002 (Rec.196/00), 13 de abril de 2005 (Rec. 230/2003), 18 de julio de 2007 (Rec. 377/2005 ) "es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000 (...) Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protecciónde los derechos fundamentales, como la intimidad o el derecho a la protecciónde datosque recoge el artículo 18.4 de la CE (...)". El citado artículo 10regula de forma individualizada el deber de secreto de quienes tratan datospersonales, dentro del título dedicado a los principios de protección de datos, lo que refleja la gran importancia que el legislador atribuye al mismo. Este deber de secreto pretende que los datospersonales no puedan conocerse por terceros, salvo de acuerdo con lo dispuesto en otros preceptos de la LOPD, como por ejemplo el artículo 11(comunicación de datos). No consta que existiese ninguna habilitación legal para la publicación del censo 2012 de federados con derecho a voto en Mallorca en internet, sin limitación de accesos, por la entidad imputada, que no ha justificado que dispusiera del consentimiento de los afectados. En el presente caso la Inspección de esta Agencia constató que, con fecha 22 de febrero de 2013, en la URL: www.balcaza.............., de la Federación Balear de Caza, se encuentra accesible el fichero que contiene el Censo 2012 de federados con derecho a voto en Mallorca, entre los que se encuentran los datos personales del denunciante: DNI, nombre y apellidos y fecha de nacimiento. También se constató que es posible acceder a este fichero sin limitaciones y sin que exista un sistema de identificación y autenticación de usuarios. Alega la entidad denunciada que la publicación del censo 2012 de federados con derecho a voto en Mallorca, en su página web sin limitación de acceso, se encuentra habilitada por lo previsto en el Decreto 86/2008 de la Conselleriad’Esports i Joventut de la ComunitatAutònoma Illes Balears, por la que se regulan los procesos electorales de las federaciones deportivas de las Islas Baleares y por lo previsto en la Resolución que dictó, en desarrollo de ese Decreto, el conceller de Turisme i Esports. En esta última, en el Anexo B-1 titulado Modelo de Reglamento en su artículo 2.2 se expresa: “…el censo se ha de exponer en la sede de la Federación, en todos los locales sociales de que disponga, en las delegaciones insulares, si hay, en la página web federativa y también en el tablón de anuncios de la Dirección General de Deportes, de manera simultánea…”. Estas previsiones normativas que regulan la actividad electoral de las Federaciones Deportivas en el ámbito Balear en nada contradicen lo previsto en la Ley Orgánica de Protección de Datos de Carácter Personal y siempre habrán de ponerse en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 relación con ella como norma jurídica superior. A este respecto se puede recordar que la finalidad de la publicación del censo de federados con derecho a voto es la de permitir a los afectados la presentación de las reclamaciones que procedan sobre sus datos censales, que permitan la elaboración de un censo definitivo de federados, que garantice a los afectados el ejercicio de su derecho al voto. Desde este punto de partida no cabe duda de que la difusión de esa información es una cuestión fundamental dentro del proceso electoral de una Federación Deportiva. Por otro lado también es indudable que esa información, que contiene datos de carácter personal de las personas federadas con derecho a voto, va dirigida a las personas allí incluidas, ellos son los interesados en este proceso de exhibición del censo y a ellos está dirigida la publicación, que incluye sus datos personales para la elaboración de un censo definitivo. Este fin, la difusión de un censo que contiene datos personales entre los interesados, se consigue con un acceso restringido a quienes va dirigido por medio, por ejemplo, de un sistema de verificación y autenticación con usuario y contraseña, que permita su acceso e impida el acceso de terceros no autorizados a los datos personales responsabilidad de la entidad denunciada. Ninguna norma habilita la difusión de estos datos de carácter personal fuera del ámbito en el que son necesarios. Por el contrario, la LOPD obliga al secreto profesional a los responsables de los ficheros y a quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal, respecto de los datos y obliga también a guardarlos. En el ámbito deportivo se pueden ver ejemplos de normativa donde se contemplan estas limitaciones, por ejemplo, la Orden ECI/3567/2007, de 4 de diciembre, por la que se regulan los procesos electorales en las Federaciones deportivas españolas que en su artículo 6 .4 dispone: “El último listado actualizado por las Federaciones de conformidad con lo dispuesto en el apartado anterior será considerado censo electoral inicial, que será expuesto públicamente, de modo que sea fácilmente accesible a los electores en cada Federación deportiva española y en todas las sedes de las Federaciones autonómicas, durante quince días naturales, pudiéndose presentar reclamaciones al mismo durante dicho plazo, ante la Federación.” Además el Consejo Superior de Deportes publica un modelo de Reglamento Electoral elaborado con arreglo a lo establecido en la citada Orden, que contempla la cuestión de la publicación y las reclamaciones del censo para los procesos electorales en las Federaciones Deportivas, y en su artículo 10 puede leerse entre otras cosas que: “El tratamiento y publicación de los datos contenidos en el Censo tendrá por exclusiva finalidad garantizar el ejercicio por los electores de su derecho de sufragio, no siendo posible su utilización ni cesión para ninguna finalidad distinta de aquella. OPCIONAL: La Federación establecerá un acceso telemático seguro a los datos del Censo para las personas federadas. Queda prohibida cualquier información particularizada sobre los datos personales contenidos en el Censo Electoral. En todo caso, será de aplicación lo previsto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 En el primer caso, en la Orden ECI/3567/2007, se manifiesta cuál es la finalidad de la publicación: “que seafácilmente accesible a los electores en cada Federación deportiva española y en todas las sedes de las Federaciones autonómicas”, y en el segundo caso, el modelo de reglamento electoral, expone que la exclusiva finalidad es garantizar el ejercicio por los electores de su derecho de sufragio, sin que pueda tener otra finalidad distinta, y que la Federación establecerá un acceso telemático seguro a los datos del Censo para las personas federadas y que, obviamente, será de aplicación lo previsto en la Ley Orgánica de protección de datos de carácter personal. Como puede verse en ambos casos es clara la finalidad de la publicación y sus destinatarios: los electores de cada Federación. De esta forma la entidad denunciada resulta responsable de los ficheros de datos personales alojados en su página web y como tal debió implantar las medidas de seguridad apropiadas que impidieran el acceso de terceros no autorizados, limitando los accesos a los datos personales ya mencionados, para que pudieran ser consultados únicamente por parte de los afectados. Alega la federación denunciada que “no sólo debe ser publicado en la página web sino que, por exigencias del Decreto 86/2008 y la Resolución, también debe ser expuesto en el tablón de anuncios de la Federación y en el de la Dirección General de Deportes (“DGD”), por lo que el acceso a su contenido es igualmente público y fácil por cualquier tercero interesado, no existiendo en la práctica ninguna diferencia entre su exposición en el tablón de anuncios de un organismo de la Administración pública y su publicación en una página web.”. Esta alegación no puede aceptarse por lo ya expuesto, y no puede admitirse un paralelismo entre un tratamiento no automatizado (publicación en papel en un tablón de anuncios) y otro tratamiento automatizado y publicado en una página web en internet en abierto sin limitaciones de acceso. Estos hechos deben valorarse en su justa medida dado el problema que existe en relación con la publicación de datos personales en internet y la dificultad de la aplicación práctica del denominado derecho al olvido. En este caso, el deber de secreto previsto en el artículo 10 de la LOPD conlleva que la Federación denunciada no puede revelar ni dar a conocer el contenido del citado censo electoral a terceros no interesados, por medio de su publicación en internet en abierto, sin un sistema que limite el acceso a los interesados en el procedimiento e impida que terceros no autorizados puedan acceder a los datos personales de los federados, salvo con el consentimiento de los afectados o en los casos previstos en el artículo 6.2 de la LOPD. En las alegaciones a la propuesta de resolución notificada, la Federación Balear de Caza ha manifestado que “de cara a futuros procesos electorales, la Federación Balear de Caza implantará un sistema informático que limite el acceso al censo electoral única y exclusivamente a los interesados en el procedimiento, impidiendo así su acceso y el conocimiento de su contenido a terceros no autorizados ajenos a la Federación”. La adopción de esta medida se considera un procedimiento válido que evitará, para futuros procesos electorales, que puedan producirse de nuevo situaciones como las que han motivado la apertura del presente expediente, todo ello en cumplimiento de lo previsto en el artículo 10 de la LOPD C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 VI La conducta de la entidad denunciada se incardina en el artículo 44.3.
15. d)de la LOPD que indica como tal: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” En este procedimiento se ha acreditado que la federación denunciada ha divulgado los datos personales contenidos en el censo 2012 de federados con derecho a voto en Mallorca, al permitir el acceso sin limitación alguna a los mismos. Dado que ha existido una vulneración en el deber de secreto por parte del denunciado en relación con datos personales, se considera que ha incurrido en la infracción descrita. El hecho constatado de la difusión de los datos personales citados fuera del ámbito de la entidad denunciada, establece la base de facto para fundamentar la imputación de la infracción del artículo 10 de la LOPD. VII El artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 PRIMERO: DECLARAR que la FEDERACION BALEAR DE CAZA ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
16. d)de la citada Ley Orgánica. SEGUNDO: NO REQUERIR a la FEDERACION BALEAR DE CAZA la adopción de medidas correctoras, toda vez que ha quedado constatado el compromiso, para futuros procesos electorales, de implantar un sistema informático que limite el acceso al censo electoral única y exclusivamente a los interesados en el procedimiento, impidiendo así su acceso y el conocimiento de su contenido a terceros no autorizados ajenos a la Federación, y ello para evitar que puedan producirse de nuevo situaciones como las que han motivado la apertura del presente expediente, todo ello en cumplimiento de lo previsto en el artículo 10 de la LOPD. TERCERO: NOTIFICAR la presente resolución a la FEDERACION BALEAR DE CAZA y a D. A.A.A.. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es