1/5 Expediente Nº: E/01431/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el Sindicato Unión ***SIND.1, en virtud de denuncia presentada por Don B.B.B., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 6 de marzo de 2018, tuvo entrada en esta Agencia un escrito remitido por Don B.B.B., en el que expone lo siguiente: El sindicato denunciado, al que pertenece el denunciante, con objeto de realizar un referéndum entre sus afiliados por el tema de la equiparación salarial con otros cuerpos, ha cedido sus datos personales a la empresa CUSTOM VOTE; ésta empresa, a su vez, solicita a una tercera la elaboración de una página web para gestionar el voto electrónico. La tercera empresa “OPCION TIC” elabora una web y registra el dominio “misvotaciones.com”, a través de la cual se gestiona el voto. El denunciante manifiesta que la página web está alojada en un servidor en Estados Unidos. En ningún momento se han informado de que sus datos serían cedidos a un tercero y tampoco le han dado la opción de oponerse a la cesión. Aporta copia impresa de la siguiente documentación: Información obtenida, a través de internet, relativa al registro del dominio “Mis Votaciones”, donde consta como registrante OPCION TIC, S.L.U., con domicilio en MOSTOLES (Madrid). Copia impresa de la información obtenida por el denunciante de la dirección IP de la citada página web (***WEB.1), donde consta ***IP.1. Información obtenida también, a través de internet relativa a la dirección IP ***IP.1, donde consta como ubicación de la citada IP: Chicago (Estados Unidos). Copia impresa del correo electrónico recibido por el denunciante de Administración Custom Vote ***EMAIL.1 en el que le informan de que puede votar la propuesta del Ministerio de Interior entrando en la página web ***WEB.1, informándole de que el usuario es su dirección de correo electrónico ***EMAIL.1 y le facilitan una contraseña para el acceso. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 ***SIND.1 ha remitido a esta Agencia la siguiente información en relación con los hechos denunciados: 1. Aportan copia de la “Hoja de Afiliación” al sindicato ***SIND.1 del denunciante, de febrero de 2017, donde facilita sus datos personales, incluida la dirección de correo electrónico ***EMAIL.1. 2. Aportan copia del contrato de prestación de servicios suscrito por el Sindicato con CUSTOMVOTE, S.L., de fecha 23 de febrero de 2018, en el que constan las siguientes estipulaciones: a. El sindicato como responsable del fichero denominado “Base de Datos Afiliación” encarga a CUSTOMVOTE el tratamiento del dato del correo electrónico de los afiliados por tiempo limitado y de manera exclusiva. b. Así mismo, encarga la realización de un programa informático para la votación de la propuesta de equiparación salarial que se llevara a cabo en el periodo comprendido entre los días 5 y 7 de marzo de 2018. c. El encargado de tratamiento se compromete a tratar los datos con la finalidad exclusiva de realizar el servicio descrito. Una vez finalizada la prestación de servicios, se compromete a destruir los datos proporcionados por el Responsable así como el resultado de cualquier elaboración de los mismos y los soportes o documentos en que se halle recogida la información. d. El contrato será resuelto en el momento en que se cumpla la finalidad para la que se tratan los datos, es decir cuando sea resuelta la realización de la votación sobre la equiparación salarial. 3. Respecto al procedimiento por el que se identificaba a los votantes y se generaban los usuarios y contraseñas para el proceso de votación: cuando se registraba en la plataforma el correo electrónico del votante (afiliado), se generaba internamente una contraseña de 15 dígitos de números y letras, la cual debía ser facilitada por el interesado para votar en la plataforma. 4. El único dato que se facilitó a la empresa prestadora del servicio, tal y como consta en el contrato, es el dato de la dirección de correo electrónico de los afiliados. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III El denunciante indica que el Sindicato ha facilitado sus datos a una entidad que los ha usado para hacer un referéndum sobre la equiparación salarial con otros cuerpos policiales. El artículo 11. 1 y 2 de la LOPD, relativo a la cesión de datos, señala lo siguiente: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso:
- a)Cuando la cesión está autorizada en una Ley.
- b)Cuando se trate de datos recogidos de fuentes accesibles al público.
- c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique.
- d)Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco será preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas.
- e)Cuando la cesión se produzca entre Administraciones Públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos.
- f)Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica.” El artículo 12 de la LOPD “acceso a datos por cuenta de terceros”, establece lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto de tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”. El citado artículo 12.1 de la LOPD permite que el responsable del fichero habilite el acceso a datos de carácter personal por parte de la entidad que va a prestarle un servicio –encargado del tratamiento- sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión de datos. La LOPD exige que el acceso a datos por cuenta de terceros figure reflejado en un contrato por escrito o en alguna otra forma que permita acreditar su celebración y contenido, y prevé unos contenidos mínimos, tales como seguir las instrucciones del responsable del tratamiento, no utilizar los datos para un fin distinto, no comunicarlos a otras personas, estipular las medidas de seguridad del artículo 9 y, cumplida la prestación, destruir los datos o proceder a su devolución al responsable del tratamiento. En el presente caso, ha quedado constatado que existe formalizado un contrato de prestación de servicios entre el Sindicato Unión ***SIND.1 y la entidad Custom Vote, de fecha 23 de febrero de 2018, en cuyas Estipulaciones se recogen las exigencias establecidas por la normativa de protección de datos para el tipo de datos que van a ser objeto de tratamiento: solo el correo electrónico; medidas de seguridad; confidencialidad; destrucción de datos… La finalidad del encargo del tratamiento es realizar el programa informático para votar la equiparación salarial con otros cuerpos policiales, que se realizará entre el 5 y el 7 de marzo de 2018. En el supuesto denunciado, Custom Vote tiene habilitación legal para el tratamiento de los datos de los participantes en la votación. El fichero de los afiliados al sindicato continúa siendo responsabilidad del mismo, y el encargado los destruirá al resolver las votaciones. En consecuencia, no se ha producido vulneración de la normativa de protección de datos en relación con el tratamiento de los datos del denunciante por parte de Custom Vote, en nombre y por cuenta del Sindicato Unión ***SIND.1. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución al Sindicato Unión ***SIND.1, y a Don B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es