E-00739-2021

1/10  Procedimiento Nº: E/00739/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por A.A.A. (en adelante, el reclamante) tiene entrada con fecha 20 de noviembre de 2019 en la Agencia Española de Protección de Datos. La reclamación se dirige contra la UNIVERSIDAD MIGUEL HERNÁNDEZ DE ELCHE (UMH), con NIF Q5350015C (en adelante, el reclamado). Los motivos en que basa la reclamación son los siguientes: Que dirigió varios escritos al reclamado, hacía 6 meses, relacionados con cuestiones referidas a protección de datos. Se le indicó que precisaban un tiempo, pero aún no le han contestado. Acompaña la solicitud efectuada al reclamado en el que pregunta: ¿Qué datos tienen del reclamante?, ¿Dónde se guardan? ¿Quién tiene acceso a los datos?, ¿Se guarda algún documento gráfico?,¿En que ubicación y con que medidas de seguridad?. Como fueron sancionados con anterioridad, quiere conocer qué medidas se tomaron para evitar nuevas infracciones. Solicita. Datos, gráficos, títulos, cursos, accesos efectuados a expedientes con sus datos, y empleados relacionados. SEGUNDO: Con fecha 2 de diciembre de 2019, el reclamante presenta los escritos de contestación del reclamado. En fecha 5 de noviembre de 2019, el reclamado le comunica lo siguiente: - Como responsables del tratamiento, que ha de facilitarle toda la información establecida en el artículo 13 y 14 del Reglamento Europeo de Protección de Datos. Que al ser la Universidad un ente complejo en materia de gestión de datos personales, y dado que el reclamante ha sido empleado, empleado con expediente disciplinario, estudiante de grado, estudiante de master, asistente en cursos, interesado en procedimientos administrativos, participante en procesos selectivos, parte litigante, contraria, etc…, es difícil atender el ejercicio del derecho de acceso. Que conforme lo establecido en el artículo 13.2 de la LOPDGDD solicitan que sea más concreto en su solicitud, especifique el tratamiento al que desea acceder, para proceder a facilitar el acceso. - El reclamante contesta solicitando exactamente lo mismo que ya solicitó. - En base a lo dispuesto en el artículo 12.5 del RGPD rechazan la solicitud por excesiva. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/10 TERCERO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con número de referencia E/00952/2020, se dio traslado de dicha reclamación al reclamado, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El reclamado contestó la solicitud de información señalando que ya contestaron al reclamante que concretase su solicitud, ya que tienen más de 26000 alumnos, 1122 personal docente e investigador, 521 personas en administración, 269 contratados a proyectos; con una estructura docente de 7 facultades, 2 ESCUELAS, 4 Institutos de Investigación, 27 Departamentos, 33 Servicios y Unidades administrativas, y 4 centros de gestión. Dado que el reclamante ha tenido numerosos roles en la Universidad, se le contestó a distintas cuestiones planteadas en su solicitud que no tenían que ver con el derecho de acceso y se solicitó que concretase a qué datos y tratamientos quería acceder. Contesta reiterando lo solicitado y por ello se le deniega el acceso solicitado al entender que es excesivo. Han tratado de cumplir los plazos legalmente establecido para contestar, aunque no ha sido posible. Por ello han instaurado la posibilidad de ejercicio de derechos a través de la sede electrónica para que llegue rápido las solicitudes a las personas competentes. Se está elaborando un protocolo para que todos los afectados para el ejercicio de los derechos actúen. CUARTO: Con fecha 2 de junio de 2020, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. QUINTO: El reclamado presentó escrito de alegaciones a dicha admisión, en fecha 23 de junio de 2021, en la que señala lo siguiente: Tras reiterar lo indicado en escritos anteriores, concreta que de todas sus solicitudes le ha respondido quien era el responsable del tratamiento de datos y las medidas que se habían tomado tras la resolución del procedimiento sancionador; y se indicó todos los apartados en los que constaban datos suyos para que concretase a los que se refería. El reclamante no debería utilizar la normativa de protección de datos como subterfugio para entorpecer el normal funcionamiento de una entidad como es la Universidad reclamada, solicitando información que puede obtener por distintos cauces. Ha habido un claro abuso de derecho, como se recoge en numerosas sentencias. En muchas resoluciones de la AEPD se recoge que las solicitudes no pueden ser genéricas. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), reconoce a cada Autoridad de Control, y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar y resolver este procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/10 El artículo 63.2 de la LOPDGDD determina que: «Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.» II El presente procedimiento tiene su origen en el ejercicio del derecho de acceso a sus datos y a numerosa documentación ejercido por el reclamante frente al reclamado. El artículo 12 del Reglamento (UE) 2016/679, de 27 de abril de 2016, General de Protección de Datos (RGPD), dispone que: “1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios. 2. El responsable del tratamiento facilitará al interesado el ejercicio de sus derechos en virtud de los artículos 15 a 22. En los casos a que se refiere el artículo 11, apartado 2, el responsable no se negará a actuar a petición del interesado con el fin de ejercer sus derechos en virtud de los artículos 15 a 22, salvo que pueda demostrar que no está en condiciones de identificar al interesado. 3. El responsable del tratamiento facilitará al interesado información relativa a sus actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22, y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El responsable informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación. Cuando el interesado presente la solicitud por medios electrónicos, la información se facilitará por medios electrónicos cuando sea posible, a menos que el interesado solicite que se facilite de otro modo. 4. Si el responsable del tratamiento no da curso a la solicitud del interesado, le informará sin dilación, y a más tardar transcurrido un mes de la recepción de la solicitud, de las razones de su no actuación y de la posibilidad de presentar una reclamación ante una autoridad de control y de ejercitar acciones judiciales. 5. La información facilitada en virtud de los artículos 13 y 14 así como toda comunicación y cualquier actuación realizada en virtud de los artículos 15 a 22 y 34 serán a título gratuito. Cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo, el responsable del tratamiento podrá: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/10

1. a)cobrar un canon razonable en función de los costes administrativos afrontados para facilitar la información o la comunicación o realizar la actuación solicitada, o
2. b)negarse a actuar respecto de la solicitud. El responsable del tratamiento soportará la carga de demostrar el carácter manifiestamente infundado o excesivo de la solicitud. 6. Sin perjuicio de lo dispuesto en el artículo 11, cuando el responsable del tratamiento tenga dudas razonables en relación con la identidad de la persona física que cursa la solicitud a que se refieren los artículos 15 a 21, podrá solicitar que se facilite la información adicional necesaria para confirmar la identidad del interesado. 7. La información que deberá facilitarse a los interesados en virtud de los artículos 13 y 14 podrá transmitirse en combinación con iconos normalizados que permitan proporcionar de forma fácilmente visible, inteligible y claramente legible una adecuada visión de conjunto del tratamiento previsto. Los iconos que se presenten en formato electrónico serán legibles mecánicamente. 8. La Comisión estará facultada para adoptar actos delegados de conformidad con el artículo 92 a fin de especificar la información que se ha de presentar a través de iconos y los procedimientos para proporcionar iconos normalizados.” III El artículo 13 de la LOPDGDD determina lo siguiente: “1. El derecho de acceso del afectado se ejercitará de acuerdo con lo establecido en el artículo 15 del Reglamento (UE) 2016/679. Cuando el responsable trate una gran cantidad de datos relativos al afectado y este ejercite su derecho de acceso sin especificar si se refiere a todos o a una parte de los datos, el responsable podrá solicitarle, antes de facilitar la información, que el afectado especifique los datos o actividades de tratamiento a los que se refiere la solicitud. 2. El derecho de acceso se entenderá otorgado si el responsable del tratamiento facilitara al afectado un sistema de acceso remoto, directo y seguro a los datos personales que garantice, de modo permanente, el acceso a su totalidad. A tales efectos, la comunicación por el responsable al afectado del modo en que este podrá acceder a dicho sistema bastará para tener por atendida la solicitud de ejercicio del derecho. No obstante, el interesado podrá solicitar del responsable la información referida a los extremos previstos en el artículo 15.1 del Reglamento (UE) 2016/679 que no se incluyese en el sistema de acceso remoto. 3. A los efectos establecidos en el artículo 12.5 del Reglamento (UE) 2016/679 se podrá considerar repetitivo el ejercicio del derecho de acceso en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. 4. Cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, la solicitud será considerada excesiva, por lo que dicho afectado asumirá el exceso de costes que su elección comporte. En este caso, solo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/10 será exigible al responsable del tratamiento la satisfacción del derecho de acceso sin dilaciones indebidas.” IV De la documentación aportada por el reclamante y el reclamado se acredita que el primero se dirigió a la Universidad solicitando numerosa información, tanto referida al acceso a los datos objeto de tratamiento por el reclamado, como a otras cuestiones tales como las medidas tomadas por el reclamado tras el procedimiento sancionador instruido por la Agencia Española de Protección de Datos, personas que han accedido a sus datos… En lo referido al ejercicio del derecho de acceso, el reclamado, de conformidad con lo establecido en el artículo 13.1 de la LOPDGDD se dirigió al reclamante informándole que concretase a qué datos se refería, añadiendo que había sido alumno, trabajador, litigante…; el reclamante reitera la solicitud inicial en los mismos términos, sin concretar a que datos está solicitando el acceso. Ante esta contestación, el reclamado resuelve denegar el ejercicio de derecho solicitado al considerarlo excesivo, y conforme a lo indicado en el artículo 12.5 del RGPD. Posteriormente, el reclamado presenta nuevo escrito de alegaciones en el que indica que la solicitud del reclamante constituye un abuso de derechos, ya que en los múltiples roles que ha mantenido con la Universidad se destaca el de parte litigante contra ella por diferentes motivos, ajenos a la protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/10 El artículo 7 del Código Civil (CC en adelante), dispone que: “1. Los derechos deberán ejercitarse conforme a las exigencias de la buena fe. 2. La Ley no ampara el abuso del derecho o el ejercicio antisocial del mismo. Todo acto u omisión que, por la intención de su autor, por su objeto o por las circunstancias en que se realice sobrepase manifiestamente los límites normales del ejercicio de un derecho, con daño para tercero, dará lugar a la correspondiente indemnización y a la adopción de las medidas judiciales o administrativas que impidan la persistencia en el abuso”. La buena fe es un principio general del derecho incorporado al Derecho positivo que se traduce en la imposición de una serie de deberes a quien ostenta la titularidad de un derecho. A su vez, la consideración de que un derecho se ha ejercitado de manera abusiva se ha de apoyar en datos objetivos, rigurosos y ciertos, de manera que conste probado que el titular del derecho ha sobrepasado manifiestamente los límites normales de este con ocasión de su ejercicio. A este respecto, señala la sentencia del TS de 20/05/2002 que “De esta forma, para los tribunales de esta jurisdicción, el abuso del derecho o el ejercicio antisocial del mismo que la ley no ampara (art. 7.2 del CC), supone que aun respetando los límites formales con la actuación desarrollada por los que son titulares de los derechos se produce una vulneración de los valores o de la idea axiológica que forma parte del contenido del derecho subjetivo o de la norma cuyo objetivo se trata”. Por tanto, en ocasiones, aun ejercitando los derechos que el ordenamiento jurídico reconoce y actuando de manera que se respeten formalmente los requisitos fijados por la ley, su ejercicio resulta abusivo. Esto, bien porque se efectúa de manera anormal en relación con el fin perseguido por la norma jurídica, o bien con ausencia de un interés legítimo o sobrepasando en exceso los limites naturales del derecho, hasta el punto que queda desvirtuado en su esencia. En este sentido de los antecedentes obrantes en esta Agencia respecto del reclamante, se pone de manifiesto un ejercicio anormal de su derecho, tanto por cuestiones cuantitativas (no es la primera vez que denuncia al reclamado) como cualitativas (presentaciones de solicitudes con numerosas pretensiones que no son aclaradas para facilitar su tramitación cuando así se solicita). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/10 Por su parte, en la Ley de Enjuiciamiento Civil (LEC, en adelante) y dentro del Libro I, Título VIII, dedicado a la buena fe procesal establece en el artículo 247 que: “1. Los intervinientes en todo tipo de procesos deberán ajustarse en sus actuaciones a las reglas de la buena fe. 2. Los tribunales rechazaran fundadamente las peticiones e incidentes que se formule con manifiesto abuso de derecho o entrañen fraude de ley o procesal”. En relación con el principio de la buena fe (ya sea en su vertiente material art. 7 CC o en su vertiente procesal-formal art. 247 LEC) y su adecuación en la actuación del reclamante, basta con realizar una remisión a la literalidad de las solicitudes y aclaraciones presentadas recogidas en los Hechos de la presente resolución para evidenciar la ausencia de dicho principio. Siendo especial reveladora la Sentencia del Tribunal Supremo de 4 de febrero de 2011 recaída en el Recurso nº 425/2007, que analiza una supuesta vulneración del derecho de acceso por parte de una Universidad Pública respecto de un administrado que tenía permanente acceso a sus datos en su cualidad de usuario habilitado informáticamente, estimando que invocar la ausencia de satisfacción del derecho de acceso resulta contraria al principio de buena fe, porque precisamente disponía de los medios para “acceder a sus datos” autónomamente sin tener que acudir al responsable del fichero. En concreto en su Fundamento de Derecho Cuarto dispone que: Dado que este hecho ha de tenerse por cierto, es claro que la solicitud de acceso a los datos personales recogida en el escrito de 9 de febrero de 2004 era reiterativa, cuando no meramente retórica; y, por esta misma razón, presentar una reclamación ante la AEPD por incumplimiento del deber de permitir el acceso a los datos personales supone, sin duda alguna, un comportamiento contrario a la buena fe. No es leal reprochar a otro no haber hecho algo que, en realidad, ya ha hecho. Y justificar esta imputación en la inobservancia de formas y plazos previstos en la ley no deja de ser un abuso de los requisitos formales, algo que ha sido tradicionalmente visto como uno de los supuestos arquetípicos de vulneración del principio general de la buena fe. Es más: no se trata sólo de que el solicitante dispusiera de la posibilidad permanente de acceso a sus datos personales por vía informática, sino que en su escrito de 9 de febrero de 2004 no especificó mediante qué concreto medio de acceso quería que su derecho fuese satisfecho; y, en estas circunstancias, afirmar que se le denegó el acceso en el plazo legalmente previsto resulta sencillamente una abusiva deformación de la realidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/10 Es pacífico, por lo demás, que el principio general de buena fe no sólo debe guiar la actuación de la Administración con respecto a los administrados, tal como dispone el art. 3 LRJ-PAC, sino que también ha de presidir el ejercicio de toda clase de derechos por los particulares por imperativo del art. 7 CC. Dado que el ejercicio desleal del derecho de acceso a los datos personales por el particular no es merecedor de tutela, la AEPD, en cuanto entidad administrativa encargada de velar por el cumplimiento de la legislación de protección de datos, no debió estimar que la UNED había vulnerado el derecho de don Manuel; y lo propio cabe decir del tribunal a quo, al reputar ajustada a derecho la citada decisión de la AEPD. Por todo ello, el motivo segundo de este recurso de casación ha de ser estimado, lo que conduce a la anulación de la sentencia impugnada. En el presente caso, como se expone en el inicio de esta Resolución, el reclamante puede obtener el acceso deseado si aclara los términos de su solicitud, ya que es conocedor de los numerosos roles que ha ejercido en la entidad reclamada. Cuando los derechos se ejercitan ajustándose formalmente a los requisitos que establece la Ley, pero de manera anormal, de forma tal que se desvirtúa su contenido esencial, se incurre en un abuso de derecho que el ordenamiento jurídico en ningún caso puede amparar. V C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/10 Solicita el reclamante que se inicie procedimiento sancionador contra el reclamado. Sobre este particular conviene recordar que el procedimiento sancionador constituye una de las manifestaciones del "ius puniendi" del Estado y se inicia siempre de oficio por el Director de la Agencia Española de Protección de Datos, de conformidad a lo previsto en el artículo 68.1 de la LOPDGDD, como así ha mantenido la Audiencia Nacional en sentencias como, entre otras, la dictada en marzo de 2006 (REC 319/2004). Por tanto, es competencia exclusiva de la Agencia Española de Protección de Datos valorar si existen responsabilidades administrativas que han de ser depuradas en un procedimiento sancionador y, en consecuencia, la decisión sobre su apertura, no existiendo obligación de iniciar procedimiento ante cualquier petición realizada por tercero, sino que la misma ha de basarse en la existencia de elementos que justifiquen dicho inicio de actividad sancionadora. Por otro lado debe recordarse que, para definir la condición de "interesado" para instar al ejercicio de la competencia sancionadora de esta Agencia, la STS de 6 de octubre de 2009 dispone que el denunciante no es interesado, y lo hace en los siguiente términos: "el denunciante de una infracción de la legislación de protección de datos carece de legitimación activa para impugnar la resolución de la Agencia en lo que concierne al resultado sancionador mismo” (imposición de una sanción, cuantía de la misma, exculpación, etc.)“ Aplicando la doctrina pacífica del Tribunal Supremo, conforme a la cual "la denuncia no convierte al denunciante en titular de un derecho subjetivo ni de un interés personal o legítimo que hubiera de traducirse en un beneficio o utilidad" la circunstancia de haber presentado varias denuncias en esta Agencia, no le otorga por sí mismo la condición de interesado, todo ello sin perjuicio de las circunstancias que rodean la presentación de las mismas señaladas en los Hechos de la presente Resolución. VI En definitiva, de los antecedentes examinados y de las denuncias presentadas, se desprende que existen circunstancias que permiten cuestionar la finalidad seria y legitima del reclamante en el ejercicio de sus derechos, permitiendo identificar su comportamiento como abusivo y carentes de buena fe. El reclamante puede solicitar el ejercicio de derecho de acceso frente al reclamado concretando su solicitud, dado que se trata de una Universidad que efectúa numerosos tratamientos diferenciados con alumnos, trabajadores, profesores, contratados… lo que conoce al haber trabajado en la entidad reclamada; y pudiendo solicitar todos los accesos deseados, bien diferenciados, conforme a lo dispuesto en la normativa de protección de datos. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/10 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
3. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es