1/5 Expediente Nº: E/01292/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES Examinado el escrito presentado por A.A.A.. relativo a la ejecución del requerimiento de la resolución de referencia R/00490/2015 dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento de apercibimiento A/00395/2014, seguido en su contra, y en virtud de los siguientes ANTECEDENTES DE HECHO PRIMERO: En esta Agencia Española de Protección de Datos se tramitó el procedimiento de apercibimiento de referencia A/00395/2014, a instancia de C.C.C. B.B.B., con Resolución del Director de la Agencia Española de Protección de Datos por infracción del artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD). Dicho procedimiento concluyó mediante resolución R/00490/2015, de fecha 31 de marzo de 2015 por la que se resolvía (…) REQUERIR a A.A.A.. de acuerdo con lo establecido en el citado artículo 45.6 LOPD, para que en el plazo de UN MES desde la notificación de la presente resolución. 2.1 CUMPLA lo previsto en el art. 5 de la LOPD, para lo que se insta a la denunciada a informar a la denunciante respecto del origen de los datos utilizados en el envío publicitario y con carácter general a establecer mecanismos que eviten la recogida de datos y su tratamiento sin la previa información prevista en el art. 5 de la LOPD, aportando al efecto prueba de la inclusión de la leyenda informativa del citado artículo en las acciones publicitarias llevadas a cabo y en la recogida de datos personales de los titulares. 2.2 INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando los documentos u otros medios de prueba en los que se ponga de manifiesto su cumplimiento.(….) Con objeto de realizar el seguimiento de las medidas a adoptar el Director de la Agencia Española de Protección de Datos insto a la Subdirección General de Inspección de Datos la apertura del expediente de actuaciones previas de referencia E/01292/2015. SEGUNDO: Con motivo de lo instado en la resolución, el denunciado remitió a esta Agencia con fechas de entrada 11/05/2015 y 13/07/2015 sendos escritos en los que informaba a esta Agencia en los siguientes términos: I.Han procedido a remitir a la denunciante un burofax donde informan del origen de los datos objeto de tratamiento para que si lo estima ejerza los derechos ARCO que estime conveniente. II.Aportan documentación acreditativa de la inclusión de la leyenda informativa relativa al artículo 5 LOPD inserta en los presupuestos, albarán y facturas. Así como la leyenda informativa que se incorpora a los correos electrónicos y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 plantillas que se facilitan a quien lo solicite para el ejercicio de los derechos ARCO. III.Informan que no se ha vuelto a realizar ninguna campaña publicitaria. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la LOPD. II Los hechos objeto de imputación en el procedimiento A/00395/2014 consistieron en el tratamiento sin consentimiento de los datos de la denunciante que supone la vulneración de lo dispuesto en el art. 6 de la LOPD, que dispone que: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. III En los Fundamentos de Derecho III y IV de la Resolución R/00490/2015 se hacía constar lo siguiente: (…) III El denunciado alega en primer término que los datos utilizados han sido obtenidos de fuentes públicas como es internet y en segundo término del periódico, frente a lo que hay que señalar que en el listado transcrito ut supra, no consta la red de internet, siendo dicha lista un numerus clausus tal como reiteradísima jurisprudencia de la Audiencia Nacional ha sostenido al interpretar dicho artículo. A mayor abundamiento, ya desde el año 2008 el Servicio Jurídico de esta Agencia emitió el Informe 3420/2008, que avala la consideración de numerus clausus la lista del citado precepto y analizaba las páginas de la red Internet, señalando que: (…) Ambas definiciones tienen una enumeración taxativa respecto a lo que cabe considerar como fuentes accesibles al público, lo que impide que consideremos a las páginas web C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 como fuentes accesibles al público. Por ello, para tratar la información contenida en dichas páginas debería de obtenerse el consentimiento de los afectados. (…)Por lo que resultaría irrelevante a los efectos pretendidos que los datos hubieran estado en Internet. En segundo término, respecto de la constancia de los datos de la denunciada en un periódico, tiene cabida dentro de los medios de comunicación que consta en la lista del art. 3. J de la LOPD, y por tanto se da una de las causas que dispensa la obtención del consentimiento, sin perjuicio del análisis de la información proporcionada al titular de los datos cuando se da dicha circunstancia respecto del origen de los mismos. IV Por otra parte, el art. 5 apartado 1 de la LOPD señala que: “Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante.” Y continúa en su apartado 4 y 5: 4. Cuando los datos de carácter personal no hayan sido recabados del interesado, éste deberá ser informado de forma expresa, precisa e inequívoca, por el responsable del fichero o su representante, dentro de los tres meses siguientes al momento del registro de los datos, salvo que ya hubiera sido informado con anterioridad, del contenido del tratamiento, de la procedencia de los datos, así como de lo previsto en las letras a),
- d)y
- e)del apartado 1 del presente artículo. 5. No será de aplicación lo dispuesto en el apartado anterior, cuando expresamente una ley lo prevea, cuando el tratamiento tenga fines históricos estadísticos o científicos, o cuando la información al interesado resulte imposible o exija esfuerzos desproporcionados, a criterio de la Agencia de Protección de Datos o del organismo autonómico equivalente, en consideración al número de interesados, a la antigüedad de los datos y a las posibles medidas compensatorias. Asimismo, tampoco regirá lo dispuesto en el apartado anterior cuando los datos procedan de fuentes accesibles al público y se destinen a la actividad de publicidad o prospección comercial, en cuyo caso, en cada comunicación que se dirija al interesado se le informará del origen de los datos y de la identidad del responsable del tratamiento así como de los derechos que le asisten. ( El subrayado es de la Agencia Española de Protección de Datos) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 Atendiendo al contenido del envío publicitario y a la obligación de informar que se cita en el precepto, se puede concluir que nada consta el citado envío pues ya con la denuncia se puso de manifiesto que el envío publicitario no incluía información alguna sobre la LOPD. El deber de informar adquiere verdadera importancia en el caso analizado, pues a través de su correcta puesta a disposición, la denunciante puede conocer ante quien ejercer sus derechos ARCO y que la circunstancia de que sus datos consten en una fuente accesible al público no conlleve una situación de pérdida de control y disposición sobre el uso de los datos. Es decir, a través del ejercicio del derecho de oposición podrá solicitar a INSTALACIONES CAMINO DE LA MIRANDA S.L., el cese en el uso de sus datos para fines comerciales. Todo ello sin perjuicio de la facultad de la denunciante de acudir los ficheros comunes de exclusión para envíos publicitarios, (Lista Robinson de AIDIGITAL) previstos en el art. 49 del RDLOPD y de la obligación de informar de su existencia cuando se ejerce el derecho de oposición al uso de los datos personales para prospección comercial frente a cualquier responsable del fichero. En conclusión, INSTALACIONES CAMINO DE LA MIRANDA S.L. ha vulnerado lo dispuesto en el art. 5.5 de la LOPD, que de acuerdo con el art. 44.3
- f)de la LOPD constituye una infracción grave, considerando como tal (…) El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos no hayan sido recabados del propio interesado (…). III En supuesto presente, del examen de las medidas adoptadas por A.A.A.., se constata que la denunciada ha sido informada del origen de sus datos y que se ha instaurado en la documentación utilizada por la entidad denunciada una leyenda informativa relativa al tratamiento de los datos de acuerdo con el art. 5 de la LOPD. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a A.A.A..,. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es