1/8 Expediente N.º: EXP202202811 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 23/06/2022, tuvo entrada en esta Agencia un escrito presentado por A.A.A. (en adelante, la parte reclamante), mediante el que formula reclamación contra UNIVERSIDAD COMPLUTENSE DE MADRID con NIF Q2818014I (en adelante, UNIVERSIDAD COMPLUTENSE), por un posible incumplimiento de lo dispuesto en la normativa de protección de datos de carácter personal. Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que, a raíz de un procedimiento judicial seguido ante el Juzgado de lo Mercantil nº 2 de A Coruña ha tenido constancia de que la entidad que es contraparte en dicho proceso, SIGNE, S.A., ha accedido de forma aparentemente ilegítima a una solicitud de acceso a la información pública al amparo de la Ley 19/2013, de 9 de diciembre, de Transparencia, Acceso a la Información Pública y Buen Gobierno. Esta solicitud habría sido realizada por la parte reclamante el 20/12/2018 ante la UNIVERSIDAD COMPLUTENSE y, según manifiesta la parte reclamante, fue rechazada como prueba por la Jueza responsable del procedimiento al no acreditar SIGNE, S.A., S.A. que fuera obtenida conforme a los cauces que para ello establece la normativa administrativa aplicable. Con el objetivo de obtener más información, la parte reclamante solicitó acceso a sus datos personales a la UNIVERSIDAD COMPLUTENSE el 27/12/2021, preguntando específicamente sobre las transmisiones de datos a terceros. El 28/12/2021 recibe respuesta de la UNIVERSIDAD COMPLUTENSE en la que esta manifiesta que no constan datos suyos, y posteriormente el 19/01/2022 en la que la UNIVERSIDAD COMPLUTENSE manifiesta haber recibido la solicitud de acceso a la información pública referida, la cual habría sido archivada sin abrir y, según manifiesta la parte reclamada, nunca se habría comunicado a terceros. Adjunta, entre otros, los siguientes documentos: - Transcripción de partes del vídeo de la Audiencia previa, celebrada el 17/12/2021, en las que interviene el representante legal de SIGNE, S.A. para presentar como pruebas las solicitudes de acceso a la información pública de la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 - Copia de la solicitud de acceso a la información pública, de fecha 20/12/2018, presentada por la parte reclamante ante la UNIVERSIDAD COMPLUTENSE que aporta como prueba SIGNE, S.A. - Copia de la Resolución emitida por el Consejo de Transparencia y Buen Gobierno, en fecha 16/04/2019. - Copia de los correos electrónicos intercambiados entre la parte reclamante y la UNIVERSIDAD COMPLUTENSE tras haber ejercido el derecho de acceso previsto en el RGPD. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 08/03/2022 se dio traslado de dicha reclamación a la UNIVERSIDAD COMPLUTENSE, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 08/03/2022 como consta en el acuse de recibo que obra en el expediente. Con fecha 15/03/2022 se recibe en esta Agencia escrito de respuesta indicando lo siguiente: “[…] 1.- Con fecha 27 de diciembre de 2021, el Sr. A.A.A. presentó ante la UCM formulario estándar de solicitud de acceso firmado electrónicamente. (…) el interesado especifica que en el año 2018 formuló petición de acceso a la información pública al amparo de la Ley 19/2013, aportando pantallazo de presentación en el Registro y nuevos datos sobre la referida instancia. Esta nueva información nos permitió averiguar que con fecha 20 de diciembre de 2018, a las 12:58:36, el interesado había presentado en el Registro Electrónico instancia general (…). 3.- (…). Aunque la petición de 2018 se formulaba al amparo de la Ley de Transparencia, dado el contenido de la solicitud y la gestión que entonces se hacía en esta Universidad –bajo otro Equipo de Gobierno que finalizó su mandato en mayo de 2019–, consta que la instancia se envió directamente al Servicio de Contratación. Desde la Oficina de la Delegada de Protección de Datos de la UCM, se ha requerido al Servicio de Contratación, a fin de que proceda a las averiguaciones oportunas y dé respuesta en relación a la presunta filtración de información. A tal efecto, el Servicio de Contratación de la UCM ha buscado y rebuscado cualquier documentación sobre este asunto, no constando en dicho Servicio absolutamente nada al respecto. (…) una vez recibida en el Registro Electrónico de la UCM la solicitud del Sr. A.A.A. en diciembre de 2018, la instancia fue dirigida directamente desde el Registro al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 Servicio de Contratación, sin que en dicho Servicio se haya abierto el registro. Por tanto, la solicitud de acceso formulada al amparo de la Ley 19/2013, quedó archivada sin abrir. No constando ninguna otra remisión del documento a ningún otro Servicio o Unidad administrativa, y dado que eso sucedió hace casi cuatro años, resulta imposible acreditar cualquier filtración desde dentro de la UCM. 4.- Cabe señalar que la petición de acceso formulada en la actualidad por el Sr. A.A.A., a través de la que solicita saber quién accedió a aquel documento en el año 2018, la ha presentado el interesado ante la UCM de forma tan “misteriosa” y ambigua –comunicando únicamente que un Organismo externo tenía conocimiento de una instancia suya presentada en el Registro en 2018–, que no ha posibilitado mayores investigaciones. Tampoco ha presentado prueba de que, efectivamente, se haya filtrado la información desde la UCM. Ni tan siquiera nos comunicó que era un Juzgado el que tenía esa información. Y no parece que la contraparte en el juicio, la empresa SIGNE, S.A., haya señalado a la UCM como fuente del documento presuntamente filtrado, pero del que –insistimos– el reclamante no ha presentado prueba material A la vista de las investigaciones desplegadas como consecuencia de la solicitud de acceso presentada el día 27 de diciembre de 2021, con fecha 19 de enero de 2022, a las 13:03, se respondió al interesado (…)” Junto al escrito aporta la siguiente documentación: - Copia del formulario presentado por la parte reclamante, en fecha 20/12/2018, ante la UNIVERSIDAD COMPLUTENSE para el acceso a determinada información pública. - Copia del documento de “Ejercicio del derecho de acceso” presentado por la parte reclamante, en fecha 21/12/2021; así como la respuesta de la UNIVERSIDAD COMPLUTENSE, de fecha 19/01/2022. TERCERO: Con fecha 26/05/2022, se dictó Resolución por la Directora de la Agencia Española de Protección de Datos, acordando el archivo de la reclamación. La resolución fue notificada a la parte reclamante conforme a las normas de la LPACAP, en fecha 26/05/2022, según consta acreditado en el expediente CUARTO: Con fecha 23/06/2022, la parte reclamante interpuso un recurso potestativo de reposición contra la Resolución dictada por la Directora de la Agencia Española de Protección de Datos el 26/05/2022. En el escrito manifiesta, en síntesis, su disconformidad con la resolución impugnada y aporta nueva documentación y nuevos hechos, argumentando que el envío de su solicitud sin anonimizar a SIGNE, S.A. no estaría en ningún caso justificado, y que dicho envío ha quedado acreditado mediante las afirmaciones y aportación de documentación de SIGNE, S.A., en el expediente iniciado contra esta entidad a partir de la misma reclamación inicial previamente citada. Señala que el hecho de que la UNIVERSIDAD COMPLUTENSE no localice el envío es prueba de que dicha comunicación fue irregular. Añade que, esto entraría en contradicción con la respuesta al ejercicio del derecho de acceso ejercitado por la parte reclamante, habiendo recibido por tanto una respuesta incompleta e incorrecta al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 ejercitar el derecho de acceso a sus datos personales, ya que la parte reclamada no habría reconocido la comunicación de datos citada. En fecha 13/12/2022, la Directora de la Agencia Española de Protección de Datos acordó estimar el recurso presentado. La resolución dictada se fundamenta en que la UNIVERSIDAD COMPLUTENSE “no ha presentado justificación relativa al motivo por el cual la comunicación de los datos personales de la persona que presenta una solicitud de acceso a la información pública es necesaria para la prestación del servicio contratado por la parte reclamada, por lo que parece que se trataría de una comunicación de datos a terceros sobre la cual no se ha informado a la parte recurrente en respuesta al derecho de acceso a sus datos personales”. FUNDAMENTOS DE DERECHO I Competencia y normativa aplicable De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la LOPDGDD, es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Principios relativos al tratamiento La letra
- f)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." III Derecho de acceso El artículo 15 “Derecho de acceso del interesado” del RGPD establece: “1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8
- a)los fines del tratamiento;
- b)las categorías de datos personales de que se trate;
- c)los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros u organizaciones internacionales;
- d)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
- e)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
- f)el derecho a presentar una reclamación ante una autoridad de control;
- g)cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
- h)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 2. Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia. 3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común. 4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros.” Por su parte, el artículo 13 “Derecho de acceso” de la LOPDGDD dispone que: “1. El derecho de acceso del afectado se ejercitará de acuerdo con lo establecido en el artículo 15 del Reglamento (UE) 2016/679. Cuando el responsable trate una gran cantidad de datos relativos al afectado y este ejercite su derecho de acceso sin especificar si se refiere a todos o a una parte de los datos, el responsable podrá solicitarle, antes de facilitar la información, que el afectado especifique los datos o actividades de tratamiento a los que se refiere la solicitud. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 2. El derecho de acceso se entenderá otorgado si el responsable del tratamiento facilitara al afectado un sistema de acceso remoto, directo y seguro a los datos personales que garantice, de modo permanente, el acceso a su totalidad. A tales efectos, la comunicación por el responsable al afectado del modo en que este podrá acceder a dicho sistema bastará para tener por atendida la solicitud de ejercicio del derecho. No obstante, el interesado podrá solicitar del responsable la información referida a los extremos previstos en el artículo 15.1 del Reglamento (UE) 2016/679 que no se incluyese en el sistema de acceso remoto. 3. A los efectos establecidos en el artículo 12.5 del Reglamento (UE) 2016/679 se podrá considerar repetitivo el ejercicio del derecho de acceso en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. 4. Cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, la solicitud será considerada excesiva, por lo que dicho afectado asumirá el exceso de costes que su elección comporte. En este caso, solo será exigible al responsable del tratamiento la satisfacción del derecho de acceso sin dilaciones indebidas.” IV Conclusión Con respecto a la cuestión relativa a la obtención por la entidad SIGNE, S.A. de una copia de la solicitud de acceso a la información pública presentada por la parte reclamante ante la UNIVERSIDAD COMPLUTENSE el 20/12/2018, la documentación que obra en el expediente administrativo deja constancia de la existencia de un contrato de servicios suscrito por ambas partes el 20/02/2017, en virtud del cual SIGNE, S.A. se compromete a prestar un “Servicio de personalización de títulos oficiales universitarios e interuniversitarios, título y etiquetas Erasmus Mundus, suplemento europeo al título, títulos oficiales en formato electrónico, suplemento europeo al título en formato electrónico, títulos propios en formato electrónico, formación continua y diploma de estudios avanzados que emite la Universidad Complutense de Madrid”; hasta el 31/12/2018. Si bien es cierto que la solicitud se presentó antes de que se extinguiera el contrato, ello no presupone que la UNIVERSIDAD COMPLUTENSE remitiera la solicitud sin anonimizar a SIGNE, S.A. durante la vigencia del mismo; no existiendo indicios racionales para entender que, efectivamente, se ha producido una comunicación de datos personales durante la relación contractual. Asimismo, los correos intercambiados entre los trabajadores de la UNIVERSIDAD COMPLUTENSE y de SIGNE, S.A. en octubre de 2019, tampoco prueban la comunicación de datos denunciada; toda vez que no se advierte en su contenido copia alguna de la solicitud de la parte reclamante. Tampoco existen indicios que permitan fijar el díes a quo del cómputo del plazo de prescripción en una fecha posterior. Por tanto, no existen evidencias o elementos probatorios que permitan determinar el momento y forma en el que se produjeron los hechos denunciados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 Ante la imposibilidad de determinar el concreto día en que pudo producirse la infracción, se ha de tener en cuenta que la solicitud a la que habría tenido acceso SIGNE, S.A. habría sido realizada por la parte reclamante el 20/12/2018 y que el contrato de servicios finalizó el 31/12/2018, habiendo transcurrido desde dichas fechas un plazo superior a 3 años, lo que conduce a la declaración de la prescripción de la infracción por vía de presunción, al no existir prueba en contrario. En cuanto al derecho de acceso ejercido por la parte reclamante en fecha 27/12/2021, consta que en fecha 10/01/2022, la UNIVERSIDAD COMPLUTENSE responde a la parte reclamante desde la dirección electrónica ofi.dpd@ucm.es y le solicita que concrete los datos o actividades de tratamiento a los que desea tener acceso en relación con sus datos personales, además de señalar que no consta ninguna entrada con la solicitud reseñada. Es el 19/01/2022 cuando la UNIVERSIDAD COMPLUTENSE, con el fin de atender la solicitud de acceso de datos personales presentada por la parte reclamante, facilita a la parte reclamante una copia del Registro de Actividades de Tratamiento correspondiente a la actividad de Tratamiento “Registro electrónico”; pero no ofrece toda la información solicitada por la parte reclamante, solo a aquellas cuestiones genéricas sobre datos personales. De este modo, la actuación de la UNIVERSIDAD COMPLUTENSE podría ser constitutiva de una infracción tipificada en el artículo 83.5.
- b)del RGPD que, a efectos de prescripción, el artículo 74
- c)de la LOPDGDD califica de leve. Por lo expuesto, la infracción del artículo 15 del RGPD está prescrita, toda vez que ha transcurrido un año desde la comisión de los hechos expuestos anteriormente. En consecuencia, al no haber sido posible atribuir la responsabilidad por la comunicación de los datos personales de la parte reclamante a la UNIVERSIDAD COMPLUTENSE y, además, haber prescrito la infracción del artículo 15 del RGPD, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a UNIVERSIDAD COMPLUTENSE DE MADRID y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el artículo 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los artículos 112 y 123 de la citada LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-301023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es