E-01862-2014

1/4 Expediente Nº: E/01862/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES Examinado el escrito presentado por la entidad SIDECU, S.L. relativo a la ejecución del requerimiento de la resolución de referencia R/00681/2014 dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento de apercibimiento A/00030/2014, seguido en su contra, y en virtud de los siguientes ANTECEDENTES DE HECHO PRIMERO: En esta Agencia Española de Protección de Datos se tramitó el procedimiento de apercibimiento de referencia A/00030/2014, a instancia de Dña. A.A.A., con Resolución del Director de la Agencia Española de Protección de Datos por infracción del artículo 5 y 4.5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD). Dicho procedimiento concluyó mediante resolución R/00681/2014, de fecha 2 de abril de 2014 por la que se resolvía “REQUERIR a SIDECU, S.L. para que acredite que no va a proceder a comunicar los datos de sus clientes a terceros de otros sectores que contraten o presten sus servicios a SIDECU, así como que procediera al bloqueo de los datos del denunciante, así como su posterior cancelación, cuando hayan transcurrido los plazos en que pueda exigirse algún tipo de responsabilidad derivada de una relación u obligación jurídica o de la ejecución de un contrato, de acuerdo con lo establecido en el apartado 6 del artículo 45 de la LOPD, debiéndolo acreditar ante esta Agencia en el plazo de UN MES desde este acto de notificación, para lo que se abre expediente de actuaciones previas E/01862/2014, advirtiéndole que en caso contrario se procederá a acordar la apertura de un procedimiento sancionador.” Con objeto de realizar el seguimiento de las medidas a adoptar el Director de la Agencia Española de Protección de Datos insto a la Subdirección General de Inspección de Datos la apertura del expediente de actuaciones previas de referencia E/01862/

1. SEGUNDO: Con motivo de lo instado en la resolución, el denunciado remitió a esta Agencia escrito en el que informaba de haber procedido al bloqueo de los datos de la denunciante, aportando para acreditarlo captura de pantalla donde consta el bloqueo de los datos, así como certificado emitido por la responsable del fichero y por el responsable de la auditoría interna, lo que acredita que no se procederá a su uso para tratamiento comercial de SIDECU o de terceros. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la LOPD. II El artículo 5 de la LOPD exige que a los interesados a los que se soliciten datos personales sean previamente informados de modo expreso, preciso e inequívoco de la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información; del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas; de las consecuencias de la obtención de los datos o de la negativa a suministrarlos de la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición; y de la identidad y dirección del responsable del tratamiento o, en su caso, de su representante (...) La obligación que impone el art. 5 es, por tanto, la de informar al afectado en la recogida de datos, pues solo así queda garantizado el derecho del afectado a tener una apropiada información y a consentir o no el tratamiento, en función de aquella. Así, de acuerdo con lo establecido en el art. 5 transcrito la entidad SIDECU, S.L., debe dar a sus clientes la información prevista en el art. 5.1 de la LOPD, y debe suministrarse a los clientes previamente a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. La ley ha querido imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de los afectados. A tal efecto, impone la obligación de que la información figure en los propios cuestionarios e impresos y la refuerza exigiendo que conste de forma claramente legible. La LOPD recoge las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a este, y de las finalidades para las que los datos pueden ser recabados y tratados. Por otro lado, también se imputaba a la entidad denunciada la infracción del art. 4.5 LOPD, el cual establece: “Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados. No serán conservados en forma que permita la identificación del interesado durante un periodo superior al necesario para los fines en base a los cuales hubieran sido recabados o registrados. Reglamentariamente se determinaran el procedimiento por el que, por excepción, atendidos los valores históricos, estadísticos o científicos de acuerdo con la legislación específica, se decida el mantenimiento integro de determinados datos.” A su vez, el art. 16 LOPD, referido al “derecho de rectificación y cancelación” establece que: “El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días.
2. Serán rectificados o cancelados, en su caso, los datos de carácter personal cuyo tratamiento no se ajuste a lo dispuesto en la presente Ley y, en particular, cuando tales C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 datos resulten inexactos o incompletos.
3. La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de estas. Cumplido el citado plazo deberá procederse a la supresión. 4 Si los datos rectificados o cancelados hubieran sido comunicados previamente, el responsable del tratamiento deberá notificar la rectificación o cancelación efectuada a quien se haya comunicado, en el caso de que se mantenga el tratamiento por este último, que deberá proceder también a su cancelación.
4. Los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado.” Con relación a esta misma cuestión el art. 8.6 del Real Decreto 1720/2007, por el que se aprueba el Reglamento a la LOPD establece: “Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados. No obstante, podrán conservarse durante el tiempo en que pueda exigirse algún tipo de responsabilidad derivada de una relación u obligación jurídica o de la ejecución de un contrato o de la aplicación de medidas precontractuales solicitadas por el interesado. Una vez cumplido el periodo al que se refieren los párrafos anteriores, los datos solo podrán ser conservados previa disociación de los mismos, sin perjuicio de las obligaciones de bloqueo previstas en la LO 15/1999, de 13 de diciembre, y en el presente Reglamento.” En el supuesto presente, la entidad denunciada SIDECU, S.L., con relación al requerimiento referido a que acreditara que no se iban a comunicar los datos a terceros, señalar que no se ha constatado que se hayan producido, y con relación al bloqueo de los datos de la denunciante así como su posterior cancelación cuando hayan transcurrido los plazos en que pueda exigirse algún tipo de responsabilidad, señalar que ha aportado documentación que acredita que se ha producido dicho bloqueo, sin perjuicio de que la entidad lleve a cabo la posterior cancelación, cuando hayan transcurrido los plazos en que pueda exigirse algún tipo de responsabilidad derivada de una relación u obligación jurídica o de la ejecución de un contrato, por lo que en este momento, no se aprecia vulneración a la LOPD. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
5. PROCEDER AL ARCHIVO de las presentes actuaciones.
6. NOTIFICAR la presente Resolución a SIDECU, S.L., y a Dña. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es