1/5 Expediente Nº: E/01679/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas de oficio por la Agencia Española de Protección de Datos ante la entidad CENTROS COMERCIALES CARREFOUR, S.A., y en consideración a los siguientes HECHOS PRIMERO: El Director de la Agencia Española de Protección de Datos (AEPD) ordenó en resolución dictada el 20/03/2014, recaída en el RR/00164/2014, que la Subdirección General de Inspección de Datos realizara actuaciones de investigación a fin de determinar si CENTROS COMERCIALES CARREFOUR, S.A., (en lo sucesivo CARREFOUR) había vulnerado la obligación impuesta por la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD), de inscribir en la AEPD los ficheros relativos a las imágenes tratadas por esa empresa en la campaña “Bocata Sano” a las que se hacía mención la denuncia formulada en su día por la Asociación de Consumidores en Acción FACUA y que dio lugar a la apertura del E/02522/
- Los antecedentes de la presente resolución se remontan a la denuncia presentada por FACUA contra CARREFOUR el 26/02/2013 relativa al formulario empleado por ésta como medio para recabar la autorización de los padres para que sus hijos menores participaran en la campaña “Bocata Sano” y a la falta de información que en él se ofrecía. Tal denuncia determinó la apertura de Actuaciones de Investigación previa en el marco del E/02522/
- El Director de la AEPD dictó resolución en la que acordó el archivo por prescripción de la presunta infracción del artículo 5 de LOPD y señaló que si bien CARREFOUR disponía de veinte ficheros inscritos en el Registro de la Agencia no había constancia de que ninguno de éstos se ajustara al tratamiento de las imágenes obtenidas en la realización de la actividad que era objeto de la denuncia, por lo que advertía que el Registro de la AEPD procedería a remitirle los oportunos requerimientos para que practicara la correspondiente inscripción. La citada resolución se recurrió en reposición por FACUA (RR/00164/2014) que invocó además de la falta de prescripción de la infracción del artículo 5 LOPD la falta de inscripción en la AEPD de un fichero que se ajustara al tratamiento de las imágenes obtenidas en la campaña “Bocata Sano”. El RR/00164/2014 fue resuelto el 20/03/2014 confirmando la resolución la decisión de archivar por prescripción la infracción del artículo 5 LOPD y en lo relativo a la falta de inscripción del fichero ordenó a la Inspección de datos realizar nuevas actuaciones de investigación en el marco del expediente actual, E/01679/
- SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que se recogen en el Informe de Actuaciones Previas que se reproduce: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 << ANTECEDENTES Con fecha de 26 de febrero de 2013 tiene entrada en esta Agencia un escrito de ASOCIACIÓN DE CONSUMIDORES Y USUARIOS EN ACCIÓN-FACUA en el que declara que la entidad CARREFOUR ha estado organizando una serie de charlas y actividades en los Colegios de la provincia de Málaga relacionados con la alimentación saludable de los menores. Para que los padres de los menores autoricen la participación de éstos en la actividad CARREFOUR ha elaborado un formulario en el que además de la propia autorización, se ceden los derechos de explotación de las fotografías e imágenes que se obtengan de los participantes y se informa de que los datos personales que se facilitan y las citadas fotografías serán incluidas en un fichero titularidad de CARREFOUR con la finalidad de publicarlos en los medios de comunicación propios, también se ceden los derechos de explotación de las imágenes con carácter mundial. Así mismo, consta en el formulario que se podrá revocar el consentimiento a la publicación de las fotografías o ejercitar los derechos ARCO en la dirección que se indica. En la denuncia se pone de manifiesto que no existe la posibilidad en el propio formulario de otorgar la autorización para la participación en el evento sin autorizar a la vez la cesión de los datos, imágenes y fotografías de los menores participantes. La denuncia se investigó en el marco del E/02522/2013, que se archivó por resolución de 16 de enero de 2014 y cuyo recurso de reposición se resolvió el 20 de marzo de
- En la parte resolutiva de este último se instaba a iniciar de nuevo actuaciones de investigación en el marco del actual expediente al no haber prescrito las infracciones cometidas. ACTUACIONES PREVIAS: Durante el transcurso de las actuaciones practicadas en el marco de expediente de investigación E/02522/2013 se ha puesto de manifiesto que la entidad CENTROS COMERCIALES CARREFOUR S.A. desarrolló un programa denominado “Bocata Sano. Aprendiendo a comer” dirigido a distintos colegios de toda España. En este programa se obtenían imágenes de menores, y con objeto de que los niños pudieran participar en la actividad, el colegio se responsabilizaba de recabar la autorización de los padres, madres o tutores. La entidad es responsable de varios ficheros automatizados de datos de carácter personal y ninguno de ellos se ajusta al tratamiento de las imágenes obtenidas en la realización de la actividad “Jornada Bocata Sano”. Las imágenes de los menores participantes en la actividad “Bocata Sano” han sido incluidas en un fichero que en esa fecha no constaba inscrito en el Registro General de Protección de Datos, sin embargo manifestó en el marco del expediente citado que iban a proceder a inscribirlo con carácter inmediato. Con fecha 17 de enero de 2014 se requiere a la Subdirección de Registro General de Protección de Datos que inste a dicha entidad a que proceda a inscribir el fichero en el RGPD, comunicando dichas actuaciones a la Subdirección General de Inspección de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 Datos. Con fecha 24 de febrero de 2014 se recibe contestación de la Subdirección de Registro General de Protección de Datos en la que traslada el escrito de fecha de entrada 18 de febrero de 2014 con la respuesta de dicha entidad en relación al requerimiento a dicha entidad para que inscriba los ficheros relativos a las imágenes obtenidas en la realización de la actividad citada. En dicho escrito la entidad manifiesta que:
- Que CARREFOUR se encuentra actualmente en proceso interno de aprobación de la inscripción de un nuevo fichero en el RGPD en el que se recojan las imágenes obtenidas en la realización de la actividad "Jornada Bocata Sano".
- Que en el momento en que se hayan realizado todos los trámites internos para la inscripción de este fichero, se notificará a la AEPD con el fin de que se inscriba el citado fichero en el RGPD.
- Que, en todo caso, CARREFOUR ya no realiza la actividad "Jornada Bocata Sano", por lo que ya no se recabarán nuevos datos. Los datos ya recabados, de conformidad con lo dispuesto en el artículo 16 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos, serán conservados debidamente cancelados, únicamente a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento durante el plazo de prescripción de estas responsabilidades. Ello supone que desde la realización de la última actividad no se ha producido, ni se volverá a producir tratamiento alguno de los datos recabados durante la realización de la citada actividad.>> Con fecha 22/04/2014 la Subdirección General del Registro General de Protección de Datos comunica a la Inspección de Datos la inscripción del fichero. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 26 de la LOPD dispone lo siguiente: “
- Toda persona o entidad que proceda a la creación de ficheros de datos de carácter personal lo notificará previamente a la Agencia Española de Protección de Datos.
- Por vía reglamentaria se procederá a la regulación detallada de los distintos extremos que debe contener la notificación, entre los cuales figurarán necesariamente el responsable del fichero, la finalidad del mismo, su ubicación, el tipo de datos de carácter C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 personal que contiene, las medidas de seguridad, con indicación del nivel básico, medio o alto exigible y las cesiones de datos de carácter personal que se prevean realizar y, en su caso, las transferencias de datos que se prevean a países terceros.
- Deberán comunicarse a la Agencia Española de Protección de Datos los cambios que se produzcan en la finalidad del fichero automatizado, en su responsable y en la dirección de su ubicación.
- El Registro General de Protección de Datos inscribirá el fichero si la notificación se ajusta a los requisitos exigibles. En caso contrario podrá pedir que se completen los datos que falten o se proceda a su subsanación.
- Transcurrido un mes desde la presentación de la solicitud de inscripción sin que la Agencia Española de Protección de Datos hubiera resuelto sobre la misma, se entenderá inscrito el fichero automatizado a todos los efectos”. El artículo 44.2.b) tipifica como infracción leve “No solicitar la inscripción del fichero de datos de carácter personal en el Registro General de Protección de Datos de Carácter Personal”. Actualmente figura inscrito en el Registro General de Protección de Datos el fichero denominado “Bocata Sano”, constando como titular Centros Comerciales Carrefour, S.A., con fecha de alta 20/03/
- Así, el 19/3/2014 se recibió en la Subdirección de Registro General de Protección de Datos un escrito de CARREFOUR en el que solicitaba la inscripción del indicado fichero y con fecha 20/03/2014 el Director de la AEPD dictó resolución acordando proceder a la citada inscripción. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
- PROCEDER AL ARCHIVO de las presentes actuaciones.
- NOTIFICAR la presente Resolución a CENTROS COMERCIALES CARREFOUR, S.A., y a la ASOCIACIÓN DE CONSUMIDORES Y USUARIOS EN ACCIÓN, FACUA. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es