1/8 Expediente N.º: EXP202306251 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 8 de marzo de 2019, se presentó reclamación con número de registro de entrada 012129/2019 ante la Agencia Española de Protección de Datos contra FACUA - ASOCIACIÓN DE CONSUMIDORES Y USUARIOS EN ACCIÓN (en adelante, la parte reclamada), en la que la parte reclamante ponía de manifiesto que la parte reclamada daba de alta en su organización como socios a personas sin su autorización, y que así lo había hecho con la parte reclamante y con Dª. A.A.A.. Asimismo, indicaba que el día 24 de enero de 2019, B.B.B. le comunicó vía e-mail que, haciendo uso de la facilidad que le daba FACUA, había dado de alta a la parte reclamante, el pasado 31 de diciembre del 2018, como socio de pleno derecho de FACUA, sin que ella hubiera autorizado a FACUA para hacerlo. Igualmente, afirma que el alta a nombre de la parte reclamante fue comunicado por la parte reclamada a B.B.B. pero no a ella. La parte reclamante continua su escrito narrando que procedió a investigar si esta era una práctica habitual de FACUA o había sido un error puntual. Para ello, realizó llamadas a tres delegaciones distintas de FACUA (Almería, Jaén y Cádiz). En dichas llamadas le informaron de cómo hacerse socia y cuando les preguntó por la operativa para dar de alta la unidad familiar le indicaron que con solo darle los datos de terceras personas por email les darán de alta. Expresamente confirmaron que no era necesario la autorización de la tercera persona para darles de alta en sus ficheros. Junto a la reclamación se aporta: Copia de la cadena de correos entre FACUA y B.B.B., para el alta como socia de pleno derecho de la parte reclamante. DVD de las grabaciones de las llamadas de la parte reclamante a tres delegaciones de FACUA (Almería, Jaén y Cádiz) en la que se informó de cómo darse de alta como socia en esa organización y de la operativa para dar de alta a la unidad “familiar”. Copia de la cadena de correos entre FACUA y B.B.B., para el alta como socia de Dª. A.A.A.. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido como consta en el acuse de recibo que obra en el expediente. TERCERO Con fecha 26/04/2019 se recibió en esta Agencia escrito de respuesta indicando, en síntesis, lo siguiente: En primer lugar, entiende que concurre una falta de legitimación pasiva porque quien cursó el alta como socios familiares de las personas referenciadas fue FACUA Almería y no FACUA y que ambas asociaciones tienen personalidad jurídica propia cuentan con un CIF diferente, siendo el de FACUA Almería G04455341 y el de la parte reclamada G91344986. En este sentido, afirma que FACUA es la responsable del fichero de socios y tiene firmado con FACUA Almería un contrato de acceso a datos por cuenta de terceros para que esta asociación pueda dar de alta (modificar y dar de baja) datos de dicho fichero para las personas que se afilian en Almería, debiendo tratar los datos con las instrucciones dadas desde FACUA como responsable de este. Insiste en que la afiliación se produjo a través de FACUA Almería y procede a informar a esta Agencia que la Asociación de Consumidores y Usuarios en Acción- FACUA tiene un protocolo interno destinado a gestionar el alta de nuevos asociados y, consecuentemente, la inscripción de los datos personales de los nuevos afiliados en los ficheros de FACUA. Además, y por si el establecimiento de dicho protocolo pudiera no resultar suficiente, desde FACUA se procedió a la contratación de los servicios de la mercantil ANÁLISIS Y GESTIÓN DE DATOS S.L., todo ello con el propósito de que una entidad externa a FACUA pudiera evaluar de forma periódica que la actividad de esta asociación respeta la normativa vigente en materia de protección de datos. Así, FACUA tiene aprobado un protocolo interno para el alta de los socios, tanto titulares como familiares o beneficiarios, que exige el consentimiento de cada uno de ellos para tramitar su alta e incorporar sus datos personales a nuestra base de datos en calidad de socios. Dicho protocolo está aprobado y deben aplicarlo todas las asociaciones vinculadas a FACUA, inclusive FACUA Almería. CUARTO: Teniendo en cuenta los hechos contenidos en la reclamación y los documentos junto a ella aportados, así como el escrito de respuesta FACUA al traslado de la reclamación y la documentación adjuntada, con fecha 23/07/2019 se dictó resolución de archivo parcial de la reclamación, firmada por el subdirector de Inspección de Datos, en virtud de la abstención del ejercicio de sus funciones de la directora de la Agencia Española de Protección de Datos recogida en la Resolución de fecha 28/03/2019 motivada por considerarse incursa en una de las causas de abstención previstas en el artículo 23.2.
- a)de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público. QUINTO: Contra dicha resolución la reclamante interpuso recurso contenciosoadministrativo nº ***RECURSO.1 ante la Audiencia Nacional, que resolvió mediante SAN ***SAN.1 de 03/03/2022, ordenando que se anule la Resolución de la Agencia Española de Protección de Datos Ref. ***REFERENCIA.1, en cuanto acuerda archivar la reclamación presentada por tal demandante, acordando en su lugar que por la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 Agencia Española de Protección de Datos se incoen actuaciones inspectoras, a fin de llevar a cabo las investigaciones necesarias, para determinar si concurren circunstancias que justifiquen la iniciación de un procedimiento sancionador frente a FACUA. Con fecha 20 de mayo de 2022 tuvo entrada en el registro de la AEPD escrito con nº REGAGE22e00019790722, por el que se remite testimonio de la sentencia dictada por ese órgano judicial relativo al procedimiento nº.: E/03181/2019, correspondiente al recurso contencioso-administrativo nº.: ***RECURSO.2, interpuesto por C.C.C. contra Resolución de la Directora de la Agencia Española de Protección de Datos. SEXTO: Consecuencia de lo anterior y en cumplimento de ejecución de sentencia en sus propios términos, el 28 de junio de 2022 se dicta resolución de la Directora de la Agencia Española de Protección de Datos por la que se acuerda, “PRIMERO: Ejecutar la sentencia en el sentido del artículo 104.1 de la LJCA: “Luego que sea firme una sentencia, el Secretario judicial lo comunicará en el plazo de diez días al órgano que hubiera realizado la actividad objeto del recurso, a fin de que, recibida la comunicación, la lleve a puro y debido efecto y practique lo que exija el cumplimiento de las declaraciones contenidas en el fallo, y en el mismo plazo indique el órgano responsable del cumplimiento de aquél”, SEGUNDO: Admitir a trámite la reclamación formulada por C.C.C.. TERCERO: Instar a la Subdirección General de Inspección de Datos a que inicie las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 6 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, con relación a las actuaciones de FACUA, por si de tales hechos se desprendieran indicios de infracción en el ámbito competencial de la AEPD.” SÉPTIMO: En virtud de lo anterior, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. De los hechos contenidos en la reclamación y de los documentos aportados junto a la misma, así como del escrito de contestación al traslado y de la documentación aportada junto al mismo y de los aportados por FACUA, previo requerimiento de información, la inspección alcanza las siguientes conclusiones: 1.- Pese a que FACUA afirma que la reclamante (socio XXXX) y Dª. A.A.A. (socio XXXX) han sido dadas de alta telefónicamente, de la documentación aportada por la reclamante y que consta incorporada en estas actuaciones de investigación, se constata que las altas del socio XXXX y del socio XXXX se realizan a petición del socio XXXX (Sr. B.B.B.) por correo electrónico. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 2.- La parte reclamante llamó a FACUA solicitando información cuando el socio XXXX le remite el correo electrónico en el que se informa que ya había sido dada de alta como socia de FACUA. En las llamadas es la parte reclamante la que manifiesta que no tiene excesivos conocimientos informáticos para aportar la documentación de los integrantes de su unidad familiar y pregunta si lo puede enviar por correo electrónico. Indicándosele que sí puede enviar los datos de los integrantes de la unidad familiar por correo y se les dará de alta por FACUA sin necesidad de aportar el consentimiento. 3.- FACUA dio de alta como socios a la parte reclamante y a Dª. A.A.A., sin su consentimiento, previa petición de un tercero, que previamente se había dado de alta como socio de pleno derecho en FACUA. 4.- Conforme se informó desde tres entidades asociadas a FACUA (FACUA Almería, Jaén y Cádiz) y conforme figura en los Anexos del PROTOCOLO, la cobertura que FACUA ofrece a los socios incluye también a los miembros de la unidad familiar del socio. 5.- FACUA aprobó el 09/02/2019 un PROTOCOLO PARA LA GESTIÓN Y FIDELIZACIÓN DE LOS ASOCIADOS, que entre otros aspectos contiene como Anexos los formularios de alta como socios, tanto titulares, como adheridos y familiares, que requiere la firma de la persona solicitante de la afiliación. 6.- Que, conforme manifiesta FACUA, tiene habilitado un método para la acreditación del consentimiento para darse de alta vía web como socio, en cualquiera de sus modalidades. Aporta para justificar este proceso pantallazos del procedimiento de alta paso a paso, realizado como prueba, pero no los correspondientes a cada uno de los socios solicitados en el requerimiento. También aporta lo que llama una imagen de la base de datos del programa” donde supuestamente “se constatan el alta, su fecha, la clave encriptada facilitada al socio al correo electrónico que aportó para su confirmación o validación del alta”. Esa imagen se presenta en un formato de tabla, en un folio en blanco, si bien no queda acreditada la base de datos de la que se ha obtenido, ni la fecha de la consulta. Recogiéndose en dicha tabla los siguientes campos, para cada uno de los socios así dados de alta, incluidos en el requerimiento de información solicitado: Nº Socio; Nombre; Apellidos; Contraseña MD5; Fecha inscripción; Activación Cuenta; y, Estatus. 7.- Existe una discrepancia entre las manifestaciones realizadas por FACUA respecto a imposibilidad de aportar la documentación de socios por haberse dado de baja como asociados y el plazo de conservación de los datos de los socios que figura en la política de privacidad de FACUA Almería (***URL.1) según la cual “El plazo de conservación de sus datos será, según la normativa vigente, de cuatro años una vez sea dado de baja de nuestros ficheros”. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento El artículo 6 del RGPD, que regula la licitud del tratamiento, establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
- c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3. La base del tratamiento indicado en el apartado 1, letras
- c)y e), deberá ser establecida por:
- a)el Derecho de la Unión, o
- b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. 4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
- a)cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
- b)el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
- c)la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
- d)las posibles consecuencias para los interesados del tratamiento ulterior previsto;
- e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización." III El artículo 12 de la Ley 3/2015, de 30 de marzo, reguladora del ejercicio del alto cargo de la Administración General del Estado, de aplicación a la directora de la Agencia Española de Protección de Datos, dispone, en su apartado primero que “Los altos cargos deben ejercer sus funciones y competencias sin incurrir en conflictos de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 intereses y, si considera que lo está, debe abstenerse de tomar la decisión afectada por ellos”. Asimismo, el artículo 48.2 de la LOPDGDD establece que, “En los supuestos de ausencia, vacante o enfermedad de la persona titular de la Presidencia o cuando concurran en ella alguno de los motivos de abstención o recusación previstos en el artículo 23 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, el ejercicio de las competencias relacionadas con los procedimientos regulados por el título VIII de esta ley orgánica serán asumidas por la persona titular del órgano directivo que desarrolle las funciones de inspección. En el supuesto de que cualquiera de las circunstancias mencionadas concurriera igualmente en dicha persona, el ejercicio de las competencias afectadas será asumido por las personas titulares de los órganos directivos con nivel de subdirección general, por el orden establecido en el Estatuto”. Por lo tanto, considerando que en el presente caso concurre para la abstención el motivo previsto en el artículo 11.2.
- a)de la Ley 3/2015, de 30 de marzo, reguladora del ejercicio del alto cargo de la Administración General del Estado, relativo a intereses propios, la directora de la Agencia Española de Protección de Datos ha procedido a abstenerse en el presente procedimiento con fecha 20 de julio de 2023. Por lo anterior y en aplicación de lo dispuesto en el artículo 13 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP) y siguiendo lo preceptuado por el artículo 48.2 de la LOPDPGDD, en este caso será la persona titular del órgano directivo que desarrolla las funciones de inspección la que ejerza las competencias relacionadas con el presente procedimiento. IV Conforme a las conclusiones del informe de actuaciones previas de investigación, existen evidencias de una posible infracción del artículo 6.1 del RGPD por cuanto no consta que concurran ninguno de los supuestos recogidos en dicho artículo para entender que se ha producido un tratamiento lícito. No obstante, el plazo de prescripción de las infracciones viene fijado en los artículos 72, 73 y 74 de la LOPDGDD en 3, 2 o 1 año según éstas sean calificadas, a los efectos de la prescripción, como muy graves, graves o leves, habiéndose sobrepasado dicho plazo desde la fecha de la posible infracción, el 31 de diciembre de 2018, fecha en la que se dio de alta a la parte reclamante como socia de FACUA. A los efectos informativos, indicar, que la prescripción de las infracciones no se interrumpe ni por la realización de actuaciones previas de investigación ni por la interposición de un recurso contencioso administrativo. Así pues, de conformidad con lo dispuesto en el artículo 48.2 de la LOPDPGDD la Subdirectora General de Inspección de Datos ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a FACUA - ASOCIACIÓN DE CONSUMIDORES Y USUARIOS EN ACCIÓN y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-020323 A.A.A. Directora de la Agencia Española de Protección de Datos D.D.D. (P.S. Subdirectora General de Inspección de Datos) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es