E-01569-2014

1/4 Expediente Nº: E/01569/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES Examinado el escrito presentado por la ENTIDAD URBANÍSTICA DE CONSERVACIÓN ALDEAMAYOR GOLF relativo a la ejecución del requerimiento de la resolución de referencia R/00601/2014 dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento de apercibimiento AP/00047/2013, seguido en su contra, y en virtud de los siguientes ANTECEDENTES DE HECHO PRIMERO: En esta Agencia Española de Protección de Datos se tramitó el procedimiento de apercibimiento de referencia AP/00047/2013, a instancia de Denunciante 1 y Denunciante 2, con Resolución del Director de la Agencia Española de Protección de Datos por infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD). Dicho procedimiento concluyó mediante resolución R/00601/2014, de fecha 3 de abril de 2014 por la que se resolvía “REQUERIR a la ENTIDAD URBANÍSTICA DE CONSERVACIÓN ALDEAMAYOR GOLF de acuerdo con lo establecido en el apartado 3 del artículo 46 de la Ley 15/1999, para que acredite en el plazo de un mes desde este acto de notificación las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 10 de la LOPD, para lo que se abre expediente de actuaciones previas E/01569/

1. En concreto, la ENTIDAD URBANÍSTICA DE CONSERVACIÓN ALDEAMAYOR GOLF deberá proceder a retirar los documentos que contienen datos personales y que, según lo expuesto en el Hecho Probado Segundo, continúan accesibles”. Con objeto de realizar el seguimiento de las medidas a adoptar el Director de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos la apertura del expediente de actuaciones previas de referencia E/01569/
2. SEGUNDO: Con motivo de lo instado en la resolución, el denunciado remitió a esta Agencia con fecha de entrada 12 de mayo de 2014, escrito en el que informaba a esta Agencia en los siguientes términos: Que, en cumplimiento de la resolución, se ha procedido a la retirada de los documentos que contienen datos personales y para su comprobación aportan copia de lo que en la actualidad aparece en el explorador de internet cuando: - Se intenta acceder al enlace en la entrada de Facebook. Se intenta acceder a alguno de los enlaces de los documentos que ya hayan sido retirados. Como puede comprobarse ya no es posible acceder a ninguno de los documentos habiendo cumplido, por tanto con todos los términos del requerimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la LOPD. II El artículo 10 de la LOPD dispone lo siguiente: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. En el procedimiento de Declaración de infracción de las Administraciones Públicas AP/00047/2013 quedó acreditado que la <<Entidad Urbanística de Conservación Aldeamayor Golf había publicado en su Facebook una relación de los documentos junto con las URLs para acceder a los mismos, dichos documentos que versan sobre asuntos diversos (solicitudes de pago, contestaciones, correos electrónicos a los vecinos, escritos notariales, recursos, etc…) constan publicados y en ellos figura el nombre y los apellidos, DNI y domicilio de los denunciantes y de terceros. Y así lo ha reconocido la propia Entidad Urbanística de Conservación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 Aldeamayor Golf, que manifestó a esta Agencia que “….en los Estatutos de la Entidad se establece como un derecho de sus miembros, el ser notificados de los acuerdos que se adopten. Por ello, en la asamblea del 28 de abril de 2012 se acordó utilizar el canal Facebook como modo de comunicación con los miembros de la entidad. En el Acta de la citada asamblea se aprecia que no se produjo oposición al respecto entre los miembros presentes ni posteriormente por los ausentes”. Por otra parte, la Entidad Urbanística de Conservación Aldeamayor Golf no ha acreditado ante esta Agencia que contara con el consentimiento de los denunciantes para la publicación que se detalla más arriba. En consecuencia, el Entidad Urbanística de Conservación Aldeamayor Golf al llevar a cabo dicho tratamiento de datos de carácter personal procedió a difundir los datos personales de sus asociados. Por tanto, se incumplió el deber de secreto con la revelación de datos personales a terceros con motivo de la publicación en cuestión, que puede calificarse como un incumplimiento de lo dispuesto en la normativa de protección de datos; quedando acreditado en el expediente que los datos personales de varias personas entre los que figuran los de los denunciantes en poder de la Entidad Urbanística de Conservación Aldeamayor Golf fueron difundidos sin consentimiento ni habilitación legal para ello, por lo que ha de entenderse vulnerado el deber de secreto que impone el artículo 10 de la LOPD>>. III Por ello, en la Resolución de fecha 3 de abril de 2014, dictada en el procedimiento número AP/00047/2013, se acordó requerir a la misma para que acreditara la adopción de medidas internas que impidan que en el futuro pueda producirse una nueva infracción del artículo 10 y deberá proceder a retirar los documentos que contienen datos personales En respuesta a este requerimiento, se recibe de la denunciada información en la que declara que, en la actualidad se han adoptado las medidas técnicas y organizativas que impiden la divulgación de datos personales de terceros, que no existen documentos con datos de carácter personal en su página de Facebook. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
3. PROCEDER AL ARCHIVO de las presentes actuaciones.
4. NOTIFICAR la presente Resolución y el Anexo 1 a la ENTIDAD URBANÍSTICA DE CONSERVACIÓN ALDEAMAYOR GOLF, y la presente Resolución y a cada uno el Anexo que le corresponda a Denunciante 1 y Denunciante
5. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es