E-01249-2015

1/9 Expediente Nº: E/01249/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad INFORMA D&B, S.A., en virtud de la denuncia presentada por D.ª A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 14/12/2014 ha tenido entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D.ª A.A.A. (en lo sucesivo la denunciante) en el que manifiesta que en la página web propiedad de INFORMA D&B, S.A., (en lo sucesivo, INFORMA o la denunciada) se publican, sin su consentimiento, “datos personales y profesionales de mi persona” y añade que alguno de ellos, como la indicación de que se dedica al transporte marítimo de pasajeros, son falsos pues su profesión es la de Abogada. Aporta con la denuncia diversas impresiones de pantalla obtenidas de www.información...... en las que constan su nombre y dos apellidos asociados a la (C/........1), de Valladolid y a que su actividad “CNAE es (*****)*Transporte marítimo de pasajeros”. Aporta también copia del DNI, en el que figura como domicilio particular la misma dirección publicada en la página web de INFORMA. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos realizó actuaciones encaminadas al esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que constan en el Informe de Actuaciones Previas de Inspección que se reproduce: <<ACTUACIONES PREVIAS Con fecha 30/9/2015 se realiza visita de inspección a Informa D&B, SA y los representantes de INFORMA realizan las siguientes manifestaciones a las cuestiones planteadas por los inspectores: - Los datos publicados por INFORMA en su página web se obtienen de Camerdata, de la cual reciben el censo con los profesionales que están dados de alta en sus directorios. - Informa recibe anualmente el directorio completo de Camerdata. La fecha de recepción es aproximadamente en el primer trimestre del año y la información que contiene hace referencia a empresas y profesionales que están dados de alta en el IAE dos años anteriores. Es decir, la información recibida en 2015 contiene datos de alta de empresarios y autónomos registrados en 2013. Los inspectores de la Agencia solicitan al representante de Informa que les permita el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 acceso a los datos que constan en el fichero de la entidad: - Se realiza una búsqueda por “A.A.A.” y actualmente no consta información asociada a esta persona. Los inspectores de la Agencia solicitan al representante de Informa que les permita el acceso al fichero de empresas de Camerdata verificándose que es necesario introducir usuario y contraseña: - Se realiza una búsqueda por “A.A.A.” y actualmente no consta información asociada a esta persona. - Se realiza una búsqueda por DNI “***DNI.1” y se verifica que el sistema no permite obtener información por este criterio. Los inspectores de la Agencia solicitan al representante de Informa acceder al fichero de Reclamaciones tramitadas por Informa verificándose que o consta ningún expediente asociado al DNI. Los inspectores de la Agencia solicitan al representante de Informa acceder al fichero de Bajas verificándose que asociado al DNI “***DNI.1” consta “A.A.A.” con dirección en la (C/........1) de Valladolid y como actividad “Transporte marítimo internacional de pasajeros”. Asimismo consta que los datos fueron recibidos de Camerdata por primera vez en el año 2012 y consta como fecha de baja mayo de 2015. Los representantes de la entidad manifiestan que en mayo de 2015 es cuando reciben el último fichero de Camerdata con la información que tenían disponible en 2013, no apareciendo los datos de A.A.A. en Camerdata, motivo por el que consta en su fichero como fecha de baja de los datos de A.A.A. mayo de 2015. Los representantes de la entidad manifiestan que realizando una búsqueda en Google, todavía constan datos asociados a A.A.A. en otros directorios y con la misma información supuestamente errónea. Con fecha 13/10/2015 se solicita información a Camerdata y de la respuesta facilitada con fecha 14/10/2015 se desprende que la Sra. A.A.A. figura en el censo cameral como Empresaria por haber ejercido la actividad empresarial de “Transporte marítimo internacional de pasajeros” asociada al código “****”. Aportan la transcripción original de los datos recibidos de la Cámara de España en el fichero del censo 2012, origen de los datos que constan en sus ficheros. Asimismo manifiestan que en el censo 2013 no aparece la citada persona. Con fecha 13/10/2015 se solicita información a la Cámara de Comercio de España y con fecha 29/10/2015 se recibe respuesta a lo solicitado de la que se desprende lo siguiente: - Acompañan copia de los datos que constan en la Cámara de Comercio relativos a A.A.A. correspondientes al Censo Público de Empresas del año 2012, elaborado en cumplimiento del artículo 18.2 d); 17.2 y 2.1

1. h)de la Ley 3/1993, Básica de las Cámaras Oficiales de Comercio, Industria y Navegación en aquel momento. - Acompañan copia de los datos relativos a A.A.A. facilitados por la Agencia Estatal de la Administración Tributaria para la elaboración del Censo Público de Empresas del año 2012 donde puede comprobarse que consta el epígrafe “**** Transporte Marítimo Internacional de Pasajeros”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 Con fecha 2/11/2015 se solicita información a la Agencia Estatal de Administración Tributaria, recibiendo respuesta el día 27 de noviembre de 2015. En su respuesta aportan copia de los datos que constan de la denunciante en calidad de contribuyente y se verifica que está matriculada en la sección segunda IAE, epígrafe **** “***PROFESIÓN.1”. La Agencia Estatal de Administración Tributaria aporta copia de los datos remitidos en 2012 a la Cámara de Comercio de Valladolid donde figura el epígrafe “****”. Manifiestan desconocer el motivo por el cual se ha producido el citado error.>> FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II Corresponde indicar, en primer término, cuál es el marco normativo en el que han de valorarse los hechos expuestos en la denuncia. La LOPD se refiere en el artículo 2 al “Ámbito de aplicación” y dispone: “1. La presente Ley será de aplicación a los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privado”. A su vez, el artículo 3.
2. a)de la citada Ley define “Datos de carácter personal”, como “cualquier información concerniente a personas físicas identificadas o identificables”. El Reglamento de desarrollo de la Ley Orgánica 15/1999, (RLOPD), aprobado por el Real Decreto 1720/2007, en su artículo 2, precepto que desarrolla el artículo 2 de la LOPD, bajo la rúbrica “Ámbito objetivo de aplicación” dispone : “1. El presente reglamento será de aplicación a los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado. 2. Este reglamento no será aplicable a los tratamientos de datos referidos a personas jurídicas, ni a los ficheros que se limiten a incorporar los datos de las personas físicas que presten sus servicios en aquéllas, consistentes únicamente en su nombre y apellidos, las funciones o puestos desempeñados, así como la dirección postal o electrónica, teléfono y número de fax profesionales. 3. Asimismo, los datos relativos a empresarios individuales, cuando hagan referencia a ellos en su calidad de comerciantes, industriales o navieros, también se entenderán excluidos del régimen de aplicación de la protección de datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 4. Este reglamento no será de aplicación a los datos referidos a personas fallecidas. No obstante, las personas vinculadas al fallecido, por razones familiares o análogas, podrán dirigirse a los responsables de los ficheros o tratamientos que contengan datos de éste con la finalidad de notificar el óbito, aportando acreditación suficiente del mismo, y solicitar, cuando hubiere lugar a ello, la cancelación de los datos.” (El subrayado es de la AEPD) La LOPD recoge en su artículo 6.1 el principio del consentimiento, piedra angular en la construcción del derecho fundamental que nos ocupa, que establece: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. El artículo 4.3 de la Ley Orgánica 15/1999 se refiere al principio de exactitud o veracidad, manifestación del principio de calidad de los datos, precepto que dispone: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. III La denuncia que examinamos versa sobre la publicación de los datos personales de la denunciante (nombre, apellidos y domicilio), sin su consentimiento, en la página web de INFORMA; datos que además no son exactos, pues le atribuyen la condición de profesional del transporte marítimo de personas cuando ella es Abogado. La página www.informa.es es propiedad de la empresa INFORMA D&B, S.A., (en adelante, INFORMA o la denunciada). Esta página web se publicita en internet como “información de empresas” y en ella se dice textualmente (según consta en la impresión de pantalla obtenida del sitio web el 18/03/2015) “einforma es una marca de INFORMA D&B S.A., líder en el mercado de información sobre empresas españolas y, pertenece a CESCE. INFORMA fue la primera compañía de toda Europa en suministrar información comercial y financiera a través de internet”. (El subrayado es de la AEPD). De lo anterior se concluye que, en principio, el tratamiento de datos que se efectúa a través de la página web de INFORMA -en la medida en que versa sobre empresas y sobre empresarios cuyos datos se hacen públicos por razón de dicha condición-, estaría excluido del ámbito de aplicación de la LOPD a tenor de los artículos 2.1 de la Ley Orgánica 15/1999 y 2.3 del RLOPD. Este criterio ha sido ratificado por la Audiencia Nacional en numerosas Sentencias entre las que cabe citar la SAN de 27 de abril de 2005, cuyo Fundamento Jurídico segundo señaló: “…como dice acertadamente el Abogado del Estado en su escrito de contestación a la demanda, ello no puede llevarnos a la conclusión de que los empresarios individuales y profesionales están en su conjunto excluidos de la LOPD, sino que es preciso diferenciar los datos que se refieren a su vida privada o personal de la empresa o profesional, pues sólo en el primer caso cabe aplicar la protección de la LO 5/1992”. (El subrayado es de la AEPD) La SAN de 10/09/2009 insiste de nuevo en que es preciso diferenciar cuándo un dato del empresario o profesional se refiere a la vida privada de la persona y cuándo a la empresa o profesión, dado que sólo en el primer caso sería de aplicación la Ley Orgánica 15/1999. Esta labor de diferenciación, según la referida sentencia, puede C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 basarse en dos criterios distintos y complementarios: la clase y naturaleza de los datos tratados, (atendiendo a que estén en conexión o se refieran a una esfera íntima y personal o a otra profesional) y la finalidad del tratamiento y las circunstancias en que éste se desarrolla. El fichero de INFORMA es privado y a través de él se publicita un directorio de empresas y empresarios autónomos cuyos datos son tratados, exclusivamente, por razón de la actividad empresarial que desarrollan, por lo que el tratamiento efectuado no se encuentra sometido a la LOPD. Centrándonos en los datos de la denunciante, la Inspección de la AEPD constató al acceder el 18/03/2015 a la página www.Informa.es que en ella se publicaban los siguientes datos de la denunciante: “- Nombre de la empresa: A.A.A. - Forma Jurídica: Empresario individual - Actividad (CNAE93): ***** Transporte marítimo - Informe completo: Informe completo de A.A.A. - Localidad y Provincia: Valladolid (Valladolid) - Código postal: ***CP.1” En el apartado “Ficha de A.A.A.” se recoge la siguiente leyenda: “La empresa A.A.A. está localizable en (C/........1) de VALLADOLID. Su actividad CNAE es (*****) “Transporte marítimo de pasajeros” (…)”. Habida cuenta de que la denunciante no desempeñaba ninguna actividad empresarial, sino profesional, y que no había consentido la publicación de sus datos en INFORMA, se realizó una Inspección en la sede de esta entidad para conocer el origen de los datos concernientes a la afectada. Los representantes legales de INFORMA manifestaron que los datos que se publican en su página web proceden de CAMERDATA, S.A., (en adelante, CAMERDATA), quien con periodicidad anual, aproximadamente en el primer trimestre del año, les facilita un “censo de los profesionales que están dados de alta en esos directorios”. Añadieron que la información que se recoge en ese censo hace referencia a empresas y profesionales que se encuentran dados de alta en el IAE dos años atrás. De tal modo que la información que en la fecha de la inspección (30/09/2015) se ha recibido de CAMERDATA data de mayo de 2015 y contiene datos de empresarios y autónomos que figuraban de alta en el IAE en el año 2013. Los inspectores de la AEPD hicieron una búsqueda en los ficheros de la empresa denunciada por el nombre y apellidos de la denunciante, con el resultado de que en esa fecha, cuando se llevó a cabo la Inspección, no constaba ninguna información asociada a ella. Lo mismo sucedió cuando la búsqueda se centró en el fichero de INFORMA relativo a las empresas de CAMERDATA. Tampoco se encontraron los datos de la denunciante cuando se realizó su búsqueda en el fichero de Reclamaciones tramitadas por INFORMA. Además se comprobó que el sistema no permite realizar búsquedas por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 el NIF Así las cosas, los Inspectores de la AEPD accedieron al fichero de Bajas de INFORMA y pudieron comprobar entonces que los datos de la denunciante –nombre, dos apellidos, NIF y dirección-, asociados a la actividad “Transporte marítimo internacional de pasajeros”, fueron recibidos de CAMERDATA, por primera vez, en el año 2012 y que se habían dado de baja en mayo de 2015. Según explicaron los representantes de la denunciada esta es la razón -habida cuenta de que la información de la que actualmente disponen se la facilitó CAMERDATA en mayo de 2015 con los empresarios que se encontraban de alta en el IAE en mayo de 2013- por la que ahora no constan en sus ficheros datos de la denunciante. La Inspección de la AEPD requirió entonces información a la empresa CAMERDATA, que manifestó que A.A.A. aparecía en el censo cameral de 2012 como empresaria, al haber ejercido la actividad de “Transporte marítimo internacional de pasajeros”, código ****. A tal fin, CAMERDATA facilitó a la AEPD la transcripción original de los datos recibidos de la Cámara de Comercio de España que acreditaban que ese era el origen de la información, concretamente el censo de 2012. Precisaron, además, que en el censo de 2013 los datos de la denunciante ya no estaban incluidos. La AEPD se dirigió a la Cámara de Comercio de España solicitando información sobre los datos personales de A.A.A. que constaban en sus ficheros y sobre el origen de estos datos. La citada corporación facilitó documentación que acredita que efectivamente los datos de la denunciante figuraban en el Censo Público de Empresas del año 2012. Igualmente, la Cámara de Comercio de España acreditó documentalmente que estos datos le fueron facilitados por la Agencia Estatal de Administración Tributaria (AEAT) para la elaboración del Censo Público de Empresas. Debe señalarse, llegados a este punto, que la Ley 3/1993, Básica de las Cámaras de Comercio, Industria y Navegación (vigente cuando acontecieron los hechos que nos ocupan), en su artículo 2.1, les atribuye entre otras funciones de “carácter público-administrativo” “
3. h)Llevar un censo público de todas las empresas, así como de sus establecimientos, delegaciones y agencias radicados en su demarcación”. A su vez, el artículo 18.2 de la Ley 3/1993 enumera entre las funciones del Consejo Superior de Cámaras “
4. d)Ejercer en el ámbito estatal las funciones a que se refieren los párrafos a, b, g, y h, del apartado 1 del artículo 2”. En conexión con lo anterior, el artículo 17.2 de la misma norma indica que “Las Administraciones tributarias facilitarán al Consejo Superior y a las Cámaras, a su solicitud, los datos del impuesto sobre Actividades Económicas y los censales de las empresas que sean necesarios para la confección del censo público de empresas a que se refiere el artículo 2.1.
5. h)de esta Ley”. El requerimiento informativo que la Inspección de esta Agencia dirigió a la AEAT vino a confirmar lo declarado por la Cámara de Comercio de España. La AEAT reconoció, una vez hechas las consultas internas, que, a través del Departamento de Informática, en el año 2012 se remitieron a la Cámara de Comercio de Valladolid los datos de la denunciante asociados al epígrafe ****. La AEAT informó también a la Agencia que había comprobado a través del Departamento de Gestión Tributaria que la contribuyente – y actual denuncianteC/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 únicamente se encontraba dada de alta en el epígrafe **** ***PROFESIÓN.1. IV De cuanto antecede ha quedado acreditado que la publicación de los datos personales de la denunciante, sin su consentimiento, y asociados a la supuesta condición de empresaria del transporte marítimo, tuvo su origen la información que el Departamento de Informática de la AEAT remitió, todo indica que por error, en el año 2012 a la Cámara de Comercio de Valladolid, al amparo de las disposiciones de la Ley 3/1993 sobre los empresarios dados de alta en el IAE. Es por tanto un hecho incontrovertido que la denunciante figuraba de alta en los ficheros de la AEAT matriculada en la sección segunda del IAE, epígrafe ****, ***PROFESIÓN.1, pero que en 2012 sus datos se facilitaron a la Cámara de Comercio asociados al epígrafe ****. La calificación jurídica de la conducta desplegada en este caso por la AEAT – cesión de datos sin consentimiento, artículo 11.1 de la LOPD y, en su caso, también vulneración del principio de calidad de los datos- es irrelevante a efectos sancionadores dado el tiempo transcurrido desde que los hechos acontecieron, aproximadamente el primer trimestre de 2012. Recordemos a ese respecto que en el censo de 2013 los datos de la denunciante ya no aparecían y que ese censo daría lugar al fichero que CAMERDATA facilitó a INFORMA en mayo de 2015 en los que no estaban registrados los datos de la denunciante. Cualquiera de las infracciones de la Ley Orgánica 15/1999 citadas –artículo 11.1, tipificada en el artículo 44.3.k, y 4.3, tipificada en el artículo 44.3.c- son graves, siendo su plazo de prescripción (ex artículo 47.1 LOPD) de dos años. De modo que en la fecha en la que la denuncia entró en la AEPD, el 12/12/2014, la presunta infracción cometida ya se encontraba prescrita. Por lo que concierne al tratamiento que la denunciada, INFORMA, ha realizado de los datos personales de la denunciante, publicados sin su consentimiento en el directorio de su página web, han de hacerse las siguientes reflexiones: La primera de ellas que su conducta no adolece de falta de diligencia, pues se limitó a publicar los datos que estaban incluidos en un fichero facilitado por CAMERDATA restringido a informar sobre empresas y autónomos. También CAMERDATA obró correctamente, pues el fichero que elabora procede del censo cameral que confecciona la Cámara de Comercio de España en cumplimiento de las obligaciones que le impone la Ley 3/1993. La diligencia desplegada por INFORMA priva a su conducta – la publicación en su directorio electrónico de empresas y empresarios de los datos personales de la denunciante- del elemento subjetivo de culpabilidad Así pues, por más que los datos personales de la denunciante hubieran sido tratados por INFORMA sin su consentimiento, procede el archivo de las actuaciones de investigación seguidas contra ella, dado que la exigencia de responsabilidad sancionadora presupone la concurrencia de un doble elemento: la conducta antijurídica descrita en el tipo sancionador y el elemento subjetivo de la infracción, pues rige en nuestro Derecho el principio de culpabilidad que impide imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 La presencia del elemento subjetivo o elemento culpabilístico como condición para que nazca la responsabilidad sancionadora ha sido reconocida por el Tribunal Constitucional, entre otras, en STC 76/1999 en la que afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su presencia para imponerlas. A su vez, la Ley 30/1992, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (LRJPAC) proclama en el artículo 130.1 el principio de culpabilidad en el marco del procedimiento administrativo sancionador y dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”.(El subrayado es de la Agencia) A la luz de este precepto, la responsabilidad sancionadora puede exigirse tanto a título de dolo como de culpa, bastando incluso la mera inobservancia del deber de cuidado. Así, en la Sentencia de 17 de octubre de 2007 (Rec. 63/2006) la Audiencia Nacional (Sala de lo Contencioso Administrativo) declaró que “….el ilícito administrativo previsto en el artículo 44.3.
6. d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aún a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho” (El subrayado es de la AEPD) En segundo término, y a mayor abundamiento, es digno de mención que la denunciante no ejercitó ante INFORMA el derecho de cancelación de sus datos personales que le otorga el artículo 16 de la LOPD, por lo cual la denunciada no pudo conocer la irregularidad de la que adolecía el tratamiento efectuado, lo que confirma la ausencia en su conducta del elemento subjetivo de la infracción. En atención a lo expuesto en los párrafos precedentes, se acuerda el archivo de las actuaciones de investigación practicadas toda vez que en la actuación de INFORMA no está presente el elemento subjetivo de culpabilidad, esencial para exigir responsabilidad en el marco del Derecho Administrativo Sancionador. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a INFORMA D&B, S.A., y a D.ª A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es