E-00773-2013

1/6 Expediente Nº: E/00773/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la COFRADIA DE JESUS CRUCIFICADO Y NUESTRA MADRE DOLOROSA, en virtud de denuncia presentada por Doña A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 28 de diciembre de 2012, tuvo entrada en esta Agencia un escrito remitido por Doña A.A.A., en el que denuncia que;  Pertenece desde hace varios años a la Cofradía de Jesús Crucificado y Nuestra Madre Dolorosa.  Dicha cofradía no dispone de ningún protocolo de protección de datos de sus socios.  En los cuestionarios en papel no consta clausula relativa a protección de datos. Adjunta copia de uno de los formularios.  Existe una página web en la dirección http://jesuscrucificado......, en dicho enlace se pueden colgar comentarios quedando a la vista de todo el mundo la dirección de correo electrónico del participante.  Con fecha 21 de mayo de 2012, remitió escrito a la cofradía para realizar consultas y sugerencias y dicho escrito, con sus datos, apareció en el mostrador de un bar/cafetería de la localidad, no constando acreditación de estos hechos.  En su día presentó un informe médico en la cofradía, donde constaban datos personales y de salud, habiendo sido informada de que no saben dónde se encuentra el citado informe, no adjunta acreditación de este hecho. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fecha 27 de marzo de 2013, se recibe en esta Agencia escrito de la COFRADIA PENITENCIAL DE JESUS CRUCIFICADO Y NUESTRA MADRE DOLOROSA, en el que pone de manifiesto que: 1.1. El soporte en el que se incluyen los datos de los cofrades, es mixto (ordenador portátil y archivadores en papel bajo llave). 1.2. Remiten los códigos de envío de los cuatro ficheros de los que procedieron a solicitar la inscripción en el Registro General de Protección de Datos. 1.3. La documentación de la cofradía y los cofrades, se almacena en el local de los P.P. Jesuitas, sito en el atrio de San Francisco. 1.4. Remiten un formulario de inscripción con la información relativa al artículo 5 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 1.5. Carecen de página web (hecho verificado mediante consulta a la misma cuya acreditación se adjunta a estas investigaciones, donde consta que ha sido bloqueada). FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II Los hechos denunciados se concretan en la recogida de datos de los cofrades y/o socios sin informar conforme establece el artículo 5 de la LOPD y no tener ficheros inscritos en la Agencia Española de Protección de Datos. El artículo 5 de la LOPD, que dispone lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
2. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
3. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
4. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos .
5. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
6. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
7. c)y
8. d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban. 4. Cuando los datos de carácter personal no hayan sido recabados del interesado, éste deberá ser informado de forma expresa, precisa e inequívoca, por el responsable del fichero o su representante, dentro de los tres meses siguientes al momento del registro de los datos, salvo que ya hubiera sido informado con anterioridad, del contenido del tratamiento, de la procedencia de los datos, así como de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 lo previsto en las letras a),
9. d)y
10. e)del apartado 1 del presente artículo. 5. No será de aplicación lo dispuesto en el apartado anterior cuando expresamente una Ley lo prevea, cuando el tratamiento tenga fines históricos, estadísticos o científicos, o cuando la información al interesado resulte imposible o exija esfuerzos desproporcionados, a criterio de la Agencia Española de Protección de Datos o del organismo autonómico equivalente, en consideración al número de interesados, a la antigüedad de los datos y a las posibles medidas compensatorias. Asimismo, tampoco regirá lo dispuesto en el apartado anterior cuando los datos procedan de fuentes accesibles al público y se destinen a la actividad de publicidad o prospección comercial, en cuyo caso, en cada comunicación que se dirija al interesado se le informará del origen de los datos y de la identidad del responsable del tratamiento así como de los derechos que le asisten.” De acuerdo con lo establecido en el citado artículo 5 de la LOPD, la Cofradía denunciada ha acompañado documentos en los que consta la siguiente cláusula informativa: “Según marca la Ley 15/1999, de 13 de diciembre, de protección de datos personales y reglamento 1720/2007, los datos incluidos en el siguiente documento serán incluidos en el fichero COFRADES del que es titular la COFRADIA DE JESUS CRUCIFICADO Y NUESTRA MADRE DOLOROSA CIF/NIF **********, al ser datos sensibles sobre creencias religiosas dicho fichero es de nivel alto y cumple las medidas de seguridad promulgadas por la Ley 15/1999, de 13 de diciembre, de protección de datos personales y reglamento 1720/2007. Los datos sobre creencias religiosas incluidas en este documento sólo serán utilizados bajo consentimiento del titular y para fines admitidos por el mismo. Puede ejercer sus derechos de acceso, rectificación, cancelación y oposición a COFRADIA DE JESUS CRUCIFICADO Y NUESTRA MADRE DOLOROSA en (C/............................1) Palencia, ..............@hotmail.com” La información a la que se refiere el citado artículo debe suministrarse a los afectados previamente a la recogida de sus datos personales, y deberá ser expresa, precisa e inequívoca. En el presente caso, se comprueba que la información preceptuada por el artículo 5 de la LOPD se facilita a las personas que forman parte de la Cofradía, ya que se incluye en todos los documentos que se les envían. III Se ha denunciado la falta de inscripción de los ficheros de la Cofradía. En este sentido, el artículo 26 de la LOPD, dispone lo siguiente: “1. Toda persona o entidad que proceda a la creación de ficheros de datos de carácter personal lo notificará previamente a la Agencia Española de Protección de Datos. 2. Por vía reglamentaria se procederá a la regulación detallada de los distintos extremos que debe contener la notificación, entre los cuales figurarán necesariamente el responsable del fichero, la finalidad del mismo, su ubicación, el tipo de datos de carácter personal que contiene, las medidas de seguridad, con indicación del nivel básico, medio o alto exigible y las cesiones de datos de carácter personal que se prevean realizar y, en su caso, las transferencias de datos que se prevean a países terceros. 3. Deberán comunicarse a la Agencia Española de Protección de Datos los cambios que se produzcan en la finalidad del fichero automatizado, en su responsable y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 en la dirección de su ubicación. 4. El Registro General de Protección de Datos inscribirá el fichero si la notificación se ajusta a los requisitos exigibles. En caso contrario podrá pedir que se completen los datos que falten o se proceda a su subsanación. 5. Transcurrido un mes desde la presentación de la solicitud de inscripción sin que la Agencia Española de Protección de Datos hubiera resuelto sobre la misma, se entenderá inscrito el fichero automatizado a todos los efectos”. En el presente caso, ha quedado acreditado que la COFRADIA DE JESUS CRUCIFICADO Y NUESTRA MADRE DOLOROSA tiene inscritos los siguientes ficheros: COFRADES, COLABORADORES Y DONANTES, GENERAL ADMINISTRACION, y MENORES NIVEL ALTO. IV Denuncia que en el mes de mayo de 2012, remitió un escrito a la Cofradía para realizar consultas y sugerencias y que apareció en el mostrador de un bar/cafetería de la localidad, aunque no puede acreditarlo. Asimismo, expone que presentó un informe con datos de salud y le han indicado que no saben que han hecho con ello. La LOPD establece en su artículo 9 las medidas de seguridad, señalando: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El art. 9 de la LOPD establece el principio de “seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquélla, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado”. Por otro lado, el artículo 10 de la LOPD establece que “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero, o en su caso, con el responsable del mismo”. Dado el contenido del citado artículo 10 de la LOPD, ha de entenderse que el mismo tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 consentidas por los titulares de los mismos. Su denuncia se fundamenta en la pérdida de documentos con datos personales en una cafetería, pudiendo quedar a la vista de terceras personas, así como el extravío de un documento que contenía datos de salud. Se ha de tener en cuenta que, al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” Asimismo, se debe tener en cuenta, en relación con el principio de presunción de inocencia lo que establece el art. 137 de LRJPAC: “1. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” En definitiva, la aplicación del principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y comprobado la existencia de una prueba de cargo acreditativa de los hechos que motivan esta imputación. En este sentido y para estas dos concretas manifestaciones de extravíos, debemos determinar que no se han aportado en su escrito de denuncia elementos probatorios que nos permitan establecer que se han producido los hechos denunciados, sin dudar que haya podido suceder, ya que no se han aportado evidencias ni indicios de los que pueda deducirse que se produjeron los hechos que denuncia. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 2. PROCEDER AL ARCHIVO de las presentes actuaciones. 3. NOTIFICAR la presente Resolución a la COFRADIA DE JESUS CRUCIFICADO Y NUESTRA MADRE DOLOROSA y a Doña A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es