E-01823-2017

1/7 Expediente Nº: E/01823/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad SOCIEDAD GENERAL DE AUTORES DE ESPAÑA (SGAE), en virtud de las denuncias presentadas por Don A.A.A., y Don B.B.B., y teniendo como base los siguientes HECHOS PRIMERO: Durante el periodo comprendido entre el 28 de junio de 2013 y el 24 de septiembre de 2013, se recibieron cinco denuncias, presentadas por varios compositores, en las que ponían de manifiesto lo siguiente: Con fecha 13 de marzo de 2013, el Presidente de la SGAE emitió un comunicado, por medio del cual, denunciaba, entre otras cosas, prácticas sectarias y fronterizas con la legalidad de 11 socios, anunciando la apertura de expedientes disciplinarios. Con fecha 19 de junio de 2013, se publican en el diario El País digital, una lista de personas relacionadas con los hechos, así como los ingresos obtenidos y las obras registradas. Las denuncias efectuadas por Don A.A.A., y Don B.B.B., fueron inadmitidas a trámite. No obstante, ambos presentaron Recurso de Reposición a dicha inadmisión, con fechas 6 y 13 de septiembre de 2013, procediéndose en fecha 26 de julio de 2013, a la apertura de E/04550/2013, para el estudio de posibles infracciones que en materia de protección de datos pudiera haber incurrido la Sociedad General de Autores, con relación a las denuncias presentadas. Con fecha 7 de abril de 2014, a la vista de las circunstancias concurrentes, el Director de la Agencia Española de Protección de Datos acordó “No incoar actuaciones inspectoras y no iniciar procedimiento sancionador o de infracción de las Administraciones Públicas”. Con fecha 6 de mayo de 2014, Don A.A.A., y Don B.B.B. presentaron Recurso de Reposición. Con fecha 27 de junio de 2014 se desestimaron los mismos. Con fechas 3 de octubre de 2014 y 26 de enero de 2015, la Audiencia Nacional solicitó los expedientes que acordaban no iniciar actuaciones de investigación, ya que Don A.A.A., y Don B.B.B. habían presentado recurso Contencioso-Administrativo ante ese Tribunal, contra la Resolución de la Agencia Española de Protección de Datos. Con fechas 27 de febrero y 6 de marzo de 2017, se reciben en esta Agencia escritos de la Audiencia Nacional con los que dan traslado de dos Sentencias dictadas en los dos recursos contencioso-administrativo, presentados por los denunciantes. En las Resoluciones se ordena a la Agencia Española de Protección de Datos la incoación de actuaciones inspectoras con relación a los hechos denunciados, para determinar si concurren circunstancias que justifiquen la iniciación de un procedimiento sancionador frente a la entidad denunciada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 Por otra parte en las citadas Sentencias se informa que en la Diligencias Previas 3110/2013, llevadas a cabo en el Juzgado de Instrucción nº 53 de Madrid, en las que se tramitaban denuncias en vía penal por estos hechos, se dictó Auto de fecha 23 de octubre de 2014, acordando sobreseimiento provisional de la causa; si bien se declara acreditada la filtración de datos reservados protegidos, que estaban en los ficheros de la SGAE, así como el documento que los contenía no se custodió debidamente. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fecha 19 de abril de 2017, se recibió en esta Agencia escrito de la Sociedad General de Autores, en el que pone de manifiesto que: 1.1. Como resultado de las investigaciones llevadas a cabo en el seno del Consejo de Dirección de la Entidad, en el marco de la Comisión de Análisis de Diligencias Previas, creada por la Junta Directiva de la SGAE el 9 de abril de 2013, con relación a los hechos denunciados, se tomaron los siguientes Acuerdos: 1.1.1.Estimar, por prescripción de las infracciones, los recursos presentados por cinco de los socios ante esa entidad, revocando las sanciones impuestas por el Consejo de Dirección de la Entidad con fecha 2 de julio de 2015. 1.1.2.Facultar a la administración para realizar cuantas acciones sean necesarias para la anulación de los registros supuestamente fraudulentos y para la práctica de los correspondientes cargos y abonos derivados de dicha anulación. 1.2. La elaboración de la relación de socios y la recaudación correspondiente a los mismos, obedeció a una labor de investigación que, a instancias de la Presidencia en ese momento de la Sociedad, se llevó a cabo por los servicios técnicos de la misma, en aras, a analizar y determinar, “prima facie”, la presunta existencia de irregularidades en los ámbitos concernientes a registros autorales efectuados, recaudación y reparto de derechos de obras de determinados socios de la Entidad. Todo ello al amparo no solo de los previsto en la normativa vigente de la propiedad intelectual relativa a la gestión colectiva de derechos de autor, sino, asimismo, en ejercicio tanto de las facultades estatuarias y reglamentarias atribuidas a tales fines a la Entidad de Gestión como a la aplicabilidad y eficacia de los derechos y obligaciones contenidos en el Contrato de Gestión suscrito por aquella con sus socios. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 Carácter Personal (en lo sucesivo LOPD). El artículo 126.1, apartado segundo, del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal establece: Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso. II Los hechos objeto de estas actuaciones previas de investigación vienen referidos al tratamiento de datos efectuada por la SGAE para hacer un documento y su filtración posterior al periódico EL PAIS. Este diario publicó, en fecha 19 de junio de 2013, un artículo referido a la actividad de once socios de la SGAE, al que se acompañaba un cuadro adjunto en el que se relacionaban los ingresos gestionados por la SGAE y percibidos por dichos autores, entre 2006 y 2012, figurando, entre los autores afectados, los dos denunciantes y recurrentes, que alegaron que no han autorizado la comunicación y publicación de dichos datos. En el seno del artículo, se señala que dicho cuadro parte de una investigación realizada por la Junta Directiva de la SGAE que se encontraba al frente de dicha institución al tiempo de la publicación de dicho artículo. El artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Por otra parte, corresponde siempre al responsable del tratamiento comprobar que tiene el consentimiento del afectado cuando realiza algún tratamiento con los datos personales de éste. A este respecto, la Audiencia Nacional, en sentencia de fecha 31/05/2006 señaló lo siguiente: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. En el presente caso, consta acreditado que la SGAE trató los datos de once de sus socios, referidos a ingresos gestionados por la Sociedad y percibidos por dichos autores, entre 2006 y 2012, realizando un cuadro explicativo de tales ingresos. Este hecho constituye un tratamiento de datos de carácter personal que exige disponer del consentimiento inequívoco de los autores o que concurra alguna de las circunstancias previstas en el artículo 6.2 de la LOPD. III El artículo 44.3.
2. b)de la LOPD, con la redacción de la Ley 2/2011, de 4 de marzo, considera infracción grave: “
3. b)Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” El principio del consentimiento, se configura como principio básico en materia de protección de datos, y así se recoge en numerosas Sentencias de la Audiencia Nacional. IV El artículo 10 de la LOPD, dispone lo siguiente: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 El deber de secreto comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riego para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. En el caso que nos ocupa, ha quedado acreditado que la SGAE facilitó el cuadro con datos personales y económicos de once de sus socios al periódico El País, que procedió a su publicación y divulgación. La información no podía ser facilitada a terceros, salvo consentimiento del afectado, o que exista una habilitación legal que permita su comunicación, circunstancias que no concurren en el presente caso. VI La vulneración del deber de secreto aparece tipificada como infracción grave en el artículo 44.3.
4. d)de la LOPD. En este precepto se establece lo siguiente: “
5. d)La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En el presente caso, ha quedado acreditado que la SGAE facilitó un cuadro con datos personales de once socios al periódico El País, información sobre la que los miembros de dicha sociedad tenía obligación de secreto. Ahora bien, de acuerdo con lo señalado, tanto el posible tratamiento inconsetido de los datos como la vulneración del deber de guardar secreto son infracciones tipificadas como graves. La comunicación de los datos de carácter personal se produjo con anterioridad al día 15 de marzo de 2013, ya que el cuadro fue publicado y comentado en varios artículos publicados los días 15 y 22 de marzo y 19 de junio de 2013. Por tanto, la comunicación de los datos se realizó al menos el mismo día de su publicación. Por su parte, el artículo 47 de la LOPD establece lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año. 2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido. 3. Interrumpirá la prescripción la iniciación, con conocimiento de interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses, por causas no imputables al presunto infractor. En el presente caso, debe considerarse que la comunicación de los datos de once socios de la SGAE se produjo en el mes de marzo de 2013; por lo que cuando se han iniciado las actuaciones previas de investigación, cumpliendo lo establecido en las Sentencias de la Audiencia Nacional referenciadas, los hechos sancionables habían prescrito, al tratarse de infracción tipificada como grave y haber transcurrido más de cinco años desde que se produjo la comunicación de datos personales. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a la SOCIEDAD GENERAL DE AUTORES DE ESPAÑA (SGAE), a Don A.A.A., y a Don B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es