1/9 Expediente Nº: E/01988/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante D. A.A.A. en virtud de denuncia presentada por Dña. B.B.B. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 22 de marzo de 2018, tuvo entrada en esta Agencia escrito de Dña. B.B.B. (en lo sucesivo la denunciante) contra D. A.A.A. (en lo sucesivo el denunciado) comunicando que en la web www.mogaformacion.es se recogen datos personales en un formulario, supuestamente para el registro de tutores, pero no se informa del responsable del fichero o tratamiento de datos ni de la finalidad de los mismos. Proporciona el nombre del denunciado como la persona de contacto con la que estableció relación laboral a través del formulario. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:
- a)Con fecha 26/03/2018 se accede desde esta Agencia a la web denunciada, verificando que en el formulario de contacto en la URL http://mogaformacion.es/registro-tutores se recaban datos personales como nombre y apellidos, edad, DNI, teléfono, e-mail, localidad y provincia, situación laboral actual, y si es autónomo o no, además de avisar de que se va a solicitar CV, titulación académica, etc. para adjuntarla en un paso posterior. Efectivamente, no se informa de los extremos expuestos en la denuncia. En la web solo se puede encontrar un número de teléfono, un e-mail de contacto, y la localidad donde radica el titular (Montilla, Córdoba).
- b)Solicitada información a ORANGE, operador que tiene asignado el citado número de teléfono, ésta contesta confirmando que el mismo pertenece al denunciado, dando un domicilio para poder efectuar la notificación.
- c)Se solicita el 20/04/2018 se solicita información al denunciado, y éste responde lo siguiente: --La entidad responsable de la recogida es él, y da sus datos de DNI y domicilio. --La finalidad es contactar con tutores y facilitar un servicio de tutores profesionales y acreditados a las diferentes empresas con las que trabaja y con las que tienen firmado un contrato de encargado de tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 --Realizan cesión de datos a terceros para establecer relación laboral entre el tercero y el cedente de datos personales. Dicha finalidad, alega, es conocida por las personas que ceden voluntariamente y registran sus datos personales como "tutores profesionales" con el interés último de obtener dicha condición laboral y que es requisito imprescindible para que dichas entidades puedan acreditar a los tutores cedentes de datos y cumplan con la normativa del SEPE para impartir certificados de profesionalidad. --Indica datos identificativos de los terceros con los que tienen relación (son 3 empresas de formación). Se aportan contratos de encargado de tratamiento con dichos contactos. --Según él, la información facilitada durante la recogida de datos a los titulares se realizó de forma física mediante cláusula incorporada en documento escrito, que son los contratos que establece con los tutores de quienes se recogen los datos. Se cita una cláusula de confidencialidad y una cláusula de protección de datos, con los datos del responsable de fichero (MOGA FORMACION, sin mostrar CIF) y la forma de ejercer los derechos ARCO (con domicilio y una dirección de correo electrónico).
- d)Con fecha 18/05/2018 se accede nuevamente desde esta Agencia a la web denunciada, verificando que en el formulario de contacto en la URL http://mogaformacion.es/registro-tutores se recaban datos personales sin informar de los extremos expuestos en la denuncia.
- e)Con fecha 25/06/2018 se solicita nuevamente información al denunciado, indicándole la información que debe facilitarse en la recogida de datos según el art. 13 del GDPD. Solicitud que fue contestada mediante escrito de 25/07/2018.
- f)Con fecha 1/08/2018 se accede al nuevo aviso legal de la web del denunciado, en el que se informa: <<…¿Quién es el Responsable del tratamiento de sus datos personales? MOGA FORMACIÓN, con CIF: 44370800M domicilio fiscal en C/ Vendimia, 8 CP: 14550 Montilla–Córdoba, es el Responsable del Tratamiento de los datos facilitados por el usuario y garantiza, asimismo, su tratamiento y seguridad confidencial, de conformidad con lo establecido en el Reglamento Europeo de Protección de Datos (“RGPD”). El usuario podrá ponerse en contacto con el Delegado de Protección de Datos para cualquier duda o necesidad que tuviera en materia de protección de datos a través de mogaformacion@gmail.com. ¿Cuál es la legitimación para el tratamiento de sus datos personales? La legitimación para el tratamiento de sus datos son los consentimientos obtenidos del usuario, la derivada del uso de la web, la contratación de productos o servicios, y cualquier otra que pudiera serle de aplicación, en cada momento. Los consentimientos de los usuarios son obtenidos tanto en el momento del alta de usuario como en las diferentes solicitudes realizadas por cualquier medio (escrito, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 email, telefónico, web), pudiendo ser modificados en cualquier momento por el usuario mediante el ejercicio de sus derechos. El tratamiento también podrá fundamentarse en el caso de clientes con contratos en vigor, en los intereses legítimos de MOGA FORMACIÓN para la oferta de servicios relacionados propios, acciones de fidelización, realización de perfiles para ofrecer servicios similares al contratado y para comunicar estos datos a terceras empresas para la realización de gestiones administrativas con fines de admisión de clientes, prevención del fraude, reclamación y cobro de deudas. La prestación de los servicios que MOGA FORMACIÓN ofrece a través de su página web puede requerir que otros terceros prestadores de servicios accedan a los datos personales del usuario como encargados del tratamiento. Los mencionados prestadores de servicios se encuentran en España y, en todo caso, en el Espacio Económico Europeo. Además de lo anterior, MOGA FORMACIÓN podrá realizar cesiones o comunicaciones de datos personales para atender sus obligaciones con las Administraciones Públicas en los casos que así se requiera de acuerdo con la legislación vigente en cada momento y en su caso, igualmente a otros órganos como Fuerzas y Cuerpos de Seguridad del Estado y a los órganos Judiciales. ¿Cuáles son los derechos del usuario? Para acceder a determinados servicios será preciso recabar sus datos personales por cualquier medio (escrito, email, telefónico, web); Los datos se facilitarán de manera libre y voluntaria, de manera que los datos habrán de ser ciertos y ajustados a la realidad. Los datos que el usuario facilita para la contratación de servicios o productos son necesarios para el mantenimiento de la relación contractual, y el hecho de no facilitarlos supondría la imposibilidad de poder gestionar dicha relación. El usuario es responsable de la veracidad de los datos comunicados y deberá solicitar su modificación siempre que fuese necesario para asegurar un correcto tratamiento de los mismos, la correcta prestación de los servicios contratados y la realización de las comunicaciones. El usuario puede ejercer los derechos de acceso, rectificación o, en su caso, solicitar la supresión de sus datos cuando ya no fueran necesarios para los fines por los que fueron recogidos, entre otros motivos. El usuario podrá solicitar la limitación del tratamiento de sus datos en las circunstancias establecidas en el art. 18 del RGPD, en cuyo caso únicamente serán conservados para el ejercicio o la defensa de posibles reclamaciones. El usuario podrá retirar el consentimiento otorgado en cualquier momento, oponiéndose al tratamiento de sus datos para una determinada finalidad, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada o bien oponerse al mismo, en cuyo caso sus datos personales únicamente serán conservados para el ejercicio o la defensa de posibles reclamaciones. El usuario podrá solicitar a MOGA FORMACIÓN la portabilidad de sus datos personales, obteniendo una copia electrónica. Todos estos derechos podrán ser ejercitados mediante escrito dirigido a MOGA FORMACIÓN al siguiente correo electrónico:mogaformacion@gmail.com, o a través de correo ordinario a la siguiente dirección: C/ Vendimia, 8 CP: 14550 Montilla– C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 Córdoba, indicando los datos identificativos, dirección o email de contacto, motivos de la solicitud y documentación justificativa, para lo cual deberá aportar documento que acredite su identidad. Para el caso de que el usuario no obtenga la respuesta o satisfacción pretendidas, MOGA FORMACIÓN le informa de su derecho a interponer una reclamación ante la Agencia Española de Protección de Datos, con domicilio en C/Jorge Juan nº 6, 28001 Madrid o a través de Internet en la dirección: http://www.agpd.es/portalwebAGPD/CanalDelCiudadano. ¿Cuánto tiempo conservamos sus datos personales? MOGA FORMACIÓN conservará los datos del usuario mientras dure su relación contractual y durante el tiempo necesario para cumplir con las obligaciones de retención de datos exigidas por la legislación aplicable en cada caso. En definitiva, los datos no se conservarán más tiempo del necesario para los fines descritos anteriormente, sin perjuicio de la conservación que resultase necesaria para la formulación, el ejercicio o la defensa de potenciales reclamaciones y/o siempre que lo permitiese la legislación aplicable. ¿Qué medidas de seguridad tenemos implantadas? MOGA FORMACIÓN se compromete al cumplimiento de su obligación de secreto de los datos de carácter personal y de su deber de guardarlos, y adoptará las medidas necesarias para evitar su alteración, pérdida, tratamiento o acceso no autorizado, de acuerdo con lo establecido por normativa aplicable. A su vez, tenemos implantadas las medidas de seguridad de índole técnica y organizativas necesarias para garantizar la seguridad de sus datos de carácter personal y evitar su alteración, pérdida y tratamiento y/o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural, de acuerdo a lo establecido por la normativa aplicable. Asimismo, continuamente se ejercen acciones de supervisión, control y evaluación de sus procesos para asegurar el respeto a la privacidad y seguridad de la información, según los estándares internacionales. MOGA FORMACIÓN guarda toda la información recogida a partir de las cookies en un formato de identificación no personal. No es posible acceder a este tipo de información obtenida mediante las cookies fuera de la entidad o de terceras personas autorizadas. Asimismo, no se utilizará para comunicaciones no solicitadas. Las cookies no contienen nombre alguno sino una dirección IP. Después de que se haya cancelado la sesión del usuario, la información que contienen las cookies deja de estar disponible para MOGA FORMACIÓN. El usuario debe comprobar si la configuración del ordenador refleja si desea aceptar aceptar cookies, o simplemente el usuario podrá ajustarlo para que las rechace siempre, aunque en ese caso no se podrá acceder a todas las funcionalidades de esta página web. El botón de “ayuda” del explorador permite saber cómo se realiza todo esto. El usuario no necesita tener cookies activadas para usar o navegar por muchas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 partes de esta y de otras páginas web de MOGA FORMACIÓN. En todo caso, si el usuario emplea diferentes ordenadores en diferentes localizaciones, necesitará asegurarse de que cada explorador está ajustado según las preferencias del usuario respecto a las cookies. Ocasionalmente, MOGA FORMACIÓN podrá realizar modificaciones y correcciones en la Política de Privacidad. Por favor, compruébelo regularmente para consultar los cambios que puedan haber existido y de qué manera te pueden afectar…>> FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III El artículo 5 de la LOPD señala que: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante.” En presente caso la web del denunciado no era acorde con el contenido del art. 5 de la LOPD. IV No obstante, desde el 25 de mayo de 2018 resulta de aplicación el Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos -RGPD), cuyo artículo 13 ha desplazado al artículo 5 de la LOPD, por lo que se ha estimado oportuno analizar la información en materia de protección de datos que se ofrece a través de la web a la que se refieren las actuaciones, para comprobar su adecuación al citado Reglamento. El artículo 13 de dicho Reglamento establece lo siguiente: “Información que deberá facilitarse cuando los datos personales se obtengan del interesado. 1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
- a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
- b)los datos de contacto del delegado de protección de datos, en su caso;
- c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
- d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
- e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
- f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
- a)el plazo durante el cual se conservarán los datos personales o, cuando no sea C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 posible, los criterios utilizados para determinar este plazo;
- b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
- c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
- d)el derecho a presentar una reclamación ante una autoridad de control;
- e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
- f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información”. La información actual que ofrece en esta materia el denunciado, que consta detallada en el Hecho Segundo, hace referencia al cumplimiento de lo establecido en el 13 RGPD citado, detallando los apartados que en el mismo se establecen. V No obstante, el artículo 45.6 de la LOPD, indica: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos: 1 Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley. 2 Que el infractor no hubiese sido sancionado o apercibido con anterioridad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en el citado apartado 6 del artículo 45 de la LOPD. Trasladando las consideraciones precedentes al supuesto que analizamos se observa que la presunta infracción de la LOPD del denunciado, constituiría una infracción “leve”; que el mismo no ha sido sancionado o apercibido por la AEPD en ninguna ocasión anterior; y que concurren de manera significativa varias de las circunstancias descritas en el artículo 45.4 de la LOPD, teniendo en cuenta la ausencia de intencionalidad y la ausencia de perjuicios distintos de los que derivan propiamente de la infracción. VI Pues bien, en atención a las citadas circunstancias se considera necesario subrayar que la Audiencia Nacional, en su Sentencia de 29 de noviembre de 2013, (Rec. 455/2011), Fundamento de Derecho Sexto, a propósito de la naturaleza jurídica de esta figura, que pese a referirse al apercibimiento regulado en el artículo 45.6 de la LOPD, advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento -como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella- cuyo objeto es la imposición de medidas correctoras, la SAN citada concluye que cuando las medidas correctoras pertinentes ya hubieran sido adoptadas, lo procedente en Derecho será acordar el Archivo de las actuaciones. En el presente caso y teniendo en cuenta las circunstancias del mismo este organismo está facultado para, en lugar de iniciar la apertura de un procedimiento sancionador, apercibir al denunciado a fin de que adopte las oportunas medidas correctoras. Sin embargo, en base a los principios de intervención mínima y proporcionalidad que informan la capacidad de actuación de esta Agencia y teniendo en cuenta que las medidas correctoras que procedería imponer fueron ya adoptadas por iniciativa propia, en armonía con el pronunciamiento de la Audiencia Nacional recogido en la SAN de 29/11/2013 (Rec. 455/2011) debe acordarse el archivo de las actuaciones de investigación practicadas. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a D. A.A.A. y a Dña. B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es