1/7 Expediente N.º: EXP202203334 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Doña A.A.A. (en adelante, la parte reclamante), con fecha 7 de febrero de 2022, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra ZOO SALUT S.C.P. con NIF J64675978 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que, el 17 de diciembre de 2019, formalizó un acuerdo de adopción de un perro en el Centro de Acogida de Animales de Compañía de Barcelona, se realizó la correspondiente inscripción en el Archivo de Identificación de Animales de Compañía (AIAC), y se le otorgó un número de identificación núm.***IDENTIFICACION.1. Fue informada de que el perro adoptado llevaba un chip con los datos del anterior propietario (núm.***CHIP.1), pero que ya no estaban activos. Este animal, por excepción, lleva dos microchips debido a que el chip núm.***CHIP.1 da errores de lectura, por lo que se implanta un segundo microchip, ***CHIP.2. La parte reclamante denunció, en fecha 6 de octubre de 2020, que se habían filtrado sus datos personales al anterior propietario del perro adoptado, quien se presentó en su domicilio particular con el pretexto de visitar al animal. A la pregunta sobre dónde ha obtenido sus datos de contacto, el antiguo propietario del perro le responde que "ha llamado al AIAC y se ha hecho pasar por veterinario y le han facilitado sus datos". La AUTORITAT CATALANA DE PROTECCIÓ DE DADES ante esta denuncia inició una fase de información previa ante el Consejo de Colegios Veterinarios de Cataluña (CCVC) que respondió al requerimiento exponiendo lo siguiente: - El responsable de Tratamiento de los datos personales que constan en el AIAC es el CCVC. - Se trata de un cambio de propietario/poseedor realizado en el marco de un proceso de adopción entre el Centro de acogida de animales de compañía de Barcelona (CAACB) y la parte reclamante. El antiguo propietario no estaba localizable, y por tanto no ha participado activamente en el proceso. Así pues, no disponía de copia del documento de cambio de propietario, y por tanto no tenía esta información. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 - Desde el AIAC no consta haber facilitado ningún dato de la parte reclamante al antiguo propietario del perro por parte de ningún trabajador de la entidad. - Se realiza una consulta en el registro de acceso de la base de datos y se verifica que se ha realizado la consulta de uno de los números de chip vinculados a la reclamante por parte de dos usuarios que corresponden a veterinarios adscritos al AIAC. - Puestos en contacto telefónico con los dos centros veterinarios para averiguar cuál era la finalidad de estos accesos, ninguno de los dos centros dieron una explicación justificada. La Autoridad Catalana ha enviado la denuncia a la Agencia Española de Protección de Datos para que se compruebe el tratamiento de datos personales a que se refiere la denuncia, consistente en el eventual acceso indebido al AIAC para consultar información vinculada a la reclamante, por parte de los centros veterinarios informados por el CCVC por quedar fuera de su ámbito competencial. En este caso se ha informado del acceso al Archivo de Identificación de Animales de compañía AIAC, para la consulta del chip del animal adoptado, por parte de ZOO SALUT S.C.P. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 28 de marzo de 2022, como consta en el acuse de recibo que obra en el expediente. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 7 de mayo de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con fecha 13 de julio de 2022 se solicita información a ZOO SALUT S.C.P, siendo reiterada la solicitud con fecha 10 de agosto de 2022, al no recibir respuesta a la anterior. Con fecha 30 de agosto de 2022 tiene entrada un escrito de respuesta al requerimiento del reclamado en el que pone de manifiesto lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 1.- Que ninguno de los dos microchips figura en su registro digital ni en su archivo de copias de los formularios enviados a AIAC, siendo por tanto el infractor una persona desconocida en ese centro. 2.- Que, en el protocolo de actuación de acceso a datos personales de terceros, figura que sólo se podrá dar la información imprescindible para dar respuesta al problema que generó la búsqueda, quedando explícitamente prohibido divulgar en modo alguno información personal del propietario, tal como nombre y apellidos, dirección, teléfono, correo electrónico, DNI y en general ninguna información de contacto protegida por el RGPD. 3.- Que el personal ha sido debidamente informado de los protocolos redactados en su día en el momento de la adaptación de la LOPD al RGPD. 4.- Que en el momento en el que se produce la fuga de información que denuncia el documento, según sus registros electrónicos trabajaban en ZOO SALUT S.C.P B.B.B. y C.C.C. Ambas han sido preguntadas por si facilitaron la información a un tercero y manifiestan que no lo han hecho. Aportan declaración firmada por ambas. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Seguridad del tratamiento El artículo 32 del RGPD estipula lo siguiente: "1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
- a)la seudonimización y el cifrado de datos personales;
- b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
- c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
- d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." III Legitimación del tratamiento de datos El artículo 6 del RGPD, bajo la rúbrica “Licitud del tratamiento”, concreta en su apartado 1 en qué supuestos se considera lícito el tratamiento de datos: “1. El tratamiento solo será lícito si cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” El artículo 6 del RGPD dispone en los apartados 2, 3, y 4: 2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
- c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3. La base del tratamiento indicado en el apartado 1, letras
- c)y e), deberá ser establecida por:
- a)el Derecho de la Unión, o
- b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. 4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
- a)cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
- b)el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
- c)la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
- d)las posibles consecuencias para los interesados del tratamiento ulterior previsto;
- e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización.” El artículo 4 del RGPD, “Definiciones”, precisa en los apartados 1 y 2, respectivamente, qué se entiende por “datos personales” y “tratamiento” a efectos de este Reglamento: “«datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” “«tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” Los hechos reclamados se concretan en el acceso por parte de algún veterinario a las bases de datos de dueños de perros, facilitando al anterior dueño de un perro la dirección de la persona que lo había adoptado, sin haber justificado que ese tratamiento respetaba el principio de licitud. En el registro de acceso al Archivo de Identificación de Animales de Compañía (AIAC) consta que se han realizado, entre el 17 de diciembre de 2019 y el 10 de agosto de 2020, consultas de uno de los números de chip vinculados a la parte reclamante por parte de dos usuarios que corresponden a veterinarios adscritos al AIAC y también consta accesos por parte de personal perteneciente al CCVC. Tras las actuaciones de investigación efectuadas, no se ha podido determinar el autor que supuestamente ha facilitó datos personales de la parte reclamante al anterior propietario del perro adoptado. IV Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias del autor de la presunta infracción cometida en el ámbito competencial de la Agencia Española de Protección de Datos. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a Doña A.A.A. y ZOO SALUT S.C.P. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-110422 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es