1/7 Expediente Nº: E/02038/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante D. B.B.B., titular de la empresa TALLERES XXX, en virtud de la denuncia presentada por D. E.E.E. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 17/01/2015 tuvo entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. E.E.E. (en lo sucesivo el denunciante) en el que expone que ha recibido una carta publicitaria de Talleres XXX que no incluye cláusula informativa por lo que desconoce cuál es el origen de su datos personales objeto de tratamiento. Aporta copia de la carta que recibió en la que le informan de la reapertura del negocio y en la que constan su nombre, dos apellidos y domicilio así como el membrete de Talleres XXX y el nombre de B.B.B., nuevo titular del negocio ( en lo sucesivo, el denunciado o Talleres XXX). SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos realizó actuaciones encaminadas al esclarecimiento de los hechos. De la respuesta del denunciado, de fecha 17/09/2015, al requerimiento informativo que le hizo Inspección de Datos el 17/07/2015, se desprende lo siguiente: 1. Manifiesta que Talleres XXX es una empresa que existe desde hace varias décadas. El antiguo propietario (tío del actual propietario) cerró las puertas de su negocio en el año 2010. El actual propietario decidió reabrir el taller en el año 2014 para continuar con la empresa, que conservaba la base de datos de sus clientes. El actual propietario decidió informar a todos ellos de la reapertura del negocio a través del envío de unas cartas informativas. 2. La intención con la que se envió la carta era para informar de la reapertura ya que había estado el negocio cerrado durante 4 años. 3. Esa ha sido la única vez que se han enviado cartas informativas. 4. Los datos personales del denunciante fueron obtenidos de la antigua base de datos de Talleres XXX con la intención de informar de la reapertura del negocio. Dichos datos no se volvieron a utilizar. 5. Se aportan copias de facturas que acreditan que el denunciante fue cliente de Talleres XXX donde consta la misma información que fue utilizada para realizar el envío publicitario así como una fotografía de la base de datos informática en la que éstos están registrados. 6. Respecto a la acreditación de haber informado al denunciante de la identidad del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 titular del fichero, del origen de los datos utilizados y de la dirección donde ejercer los derechos ARCO, el titular del taller manifiesta que cuando realizó el envío publicitario desconocía la existencia de la LOPD. 7. Aporta documentación que acredita que ha solicitado en la Agencia Española de Protección de Datos la inscripción de dos ficheros en el Registro General de Datos así como del texto de las clausulas informativas que va a utilizar en el futuro para la recogida de datos de clientes. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007, (RLOPD) a propósito del “Deber de información al interesado” dispone en el artículo 19: “En los supuestos en que se produzca una modificación del responsable del fichero como consecuencia de una operación de fusión, escisión, cesión global de activos y pasivos, aportación o transmisión de negocio o rama de actividad empresarial, o cualquier operación de reestructuración societaria de análoga naturaleza, contemplada por la normativa mercantil, no se producirá cesión de datos, sin perjuicio del cumplimiento por el responsable de lo dispuesto en el artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre”. (El subrayado es de la AEPD) La LOPD se ocupa en el artículo 5 del “Derecho de información en la recogida de datos” y dispone: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
- c)y
- d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban. 4. Cuando los datos de carácter personal no hayan sido recabados del interesado, éste deberá ser informado de forma expresa, precisa e inequívoca, por el responsable del fichero o su representante, dentro de los tres meses siguientes al momento del registro de los datos, salvo que ya hubiera sido informado con anterioridad, del contenido del tratamiento, de la procedencia de los datos, así como de lo previsto en las letras a),
- d)y
- e)del apartado 1 del presente artículo. 5. No será de aplicación lo dispuesto en el apartado anterior, cuando expresamente una ley lo prevea, cuando el tratamiento tenga fines históricos estadísticos o científicos, o cuando la información al interesado resulte imposible o exija esfuerzos desproporcionados, a criterio de la Agencia de Protección de Datos o del organismo autonómico equivalente, en consideración al número de interesados, a la antigüedad de los datos y a las posibles medidas compensatorias. Asimismo, tampoco regirá lo dispuesto en el apartado anterior cuando los datos procedan de fuentes accesibles al público y se destinen a la actividad de publicidad o prospección comercial, en cuyo caso, en cada comunicación que se dirija al interesado se le informará del origen de los datos y de la identidad del responsable del tratamiento así como de los derechos que le asisten.” La LOPD tipifica como infracción grave en el artículo 44.3.
- f)“El incumplimiento del deber de información al afectado acerca de del tratamiento de sus datos de carácter personal cuando los datos no hayan sido recabados del propio interesado”. III La Inspección de Datos de la AEPD ha recogido las manifestaciones del denunciado, D. B.B.B., actual titular de Talleres XXX en las que dice que la empresa perteneció a una tercera persona hasta 2010 y permaneció cerrada durante cuatro años, hasta 2014, momento en el que él, actual titular, continuó la actividad empresarial. Añade que la empresa transmitida conservaba la base de datos de clientes, por lo que decidió enviarles cartas informativas comunicándoles la reapertura del negocio. En prueba de ello ha facilitado a la AEPD copia de una factura que acredita que el denunciante fue cliente de Talleres XXX en el año 2002, cuando el titular de la empresa era D. C.C.C., con NIF F.F.F., datos que constan en la citada factura. La factura, número E02/17 de 25/02/2002, se expidió a nombre del denunciante – E.E.E.- y en ella figura su dirección postal, C A.A.A., que es la misma que ha facilitado a la AEPD con su denuncia. La factura corresponde a reparaciones realizadas en un Opel Corsa matrícula G.G.G.. Así pues, el origen de los datos personales del denunciante que han sido C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 objeto de tratamiento -materializado en el envío a su nombre y a su domicilio de una carta publicitaria de Talleres XXX informándole de la reapertura del negocio- no es otro que el fichero de clientes de la propia empresa, Talleres XXX. Debe indicarse, llegados a este punto, que la transmisión de la empresa Talleres XXX realizada en 2014 a favor del denunciante conllevó la transmisión de la base de datos de clientes de esta empresa,sin que esto constituya una cesión de datos, regulada en el artículo 11.1 de la LOPD, ni por tanto exija –como previene este último preceptohaber recabado el consentimiento previo de los titulares de los datos que constan en ese fichero. Con toda claridad el artículo 19 del RLOPD señala que en los supuestos en los que se produce una modificación del responsable del fichero como consecuencia de la transmisión de un negocio, no existe cesión de datos, sin perjuicio de que el responsable del fichero deba cumplir con lo dispuesto en el artículo 5 de la LOPD. Recordemos que a tenor de este precepto el responsable del fichero estará obligado a informar al titular de los datos de la existencia de un fichero, de la finalidad del tratamiento, del origen de los datos, de la identidad y dirección del responsable del tratamiento y de la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición (ARCO). A propósito del cumplimiento o no por el denunciado, en el presente caso, de las obligaciones que le impone el artículo 5 de la LOPD éste manifestó que no volvió a utilizar los datos de los ficheros de Talleres XXX para ninguna finalidad y que no puede acreditar el cumplimiento de la obligación de informar pues, cuando decidió enviar las cartas comunicando la reapertura del taller, “desconocía la existencia de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal, y las obligaciones requeridas, pero que conocida la normativa ha actuado de buena fe cumpliendo todas las exigencias previstas en la LOPD y el RLOPD.” (El subrayado es de la AEPD) En definitiva, los hechos expuestos podrían ser constitutivos de una infracción del artículo 5 de la LOPD, toda vez que cuando el denunciado envió las cartas en las que comunicaba la reapertura de la empresa no informó al denunciante del origen de los datos personales objeto de tratamiento, ni sobre la identidad y domicilio del responsable del fichero ni de la posibilidad de ejercitar los derechos ARCO. Ahora bien, debe destacarse que una vez que el denunciado tuvo conocimiento de que esa falta de información vulneraba la normativa de protección de datos, ha rectificado su conducta con gran rapidez para adecuarla a la LOPD. En prueba de las medidas correctoras adoptadas ha aportado documentos que acreditan que en fecha 10/09/2015 solicitó a la AEPD la inscripción a su nombre B.B.B. “ D.D.D. de dos ficheros, denominados “CLIENTES” y “FACTURAS”. También ha remitido a este organismo la copia de las diferentes cláusulas informativas que va a utilizar en el futuro, tanto un cartel informativo en la propia instalación de la empresa, como la información ofrecida con ocasión de la recogida de datos de los clientes en el taller, o la cláusula que va a incorporar a las facturas que el taller emita a los clientes, o la que se incluirá en las comunicaciones comerciales en papel cuando los datos de los destinatarios se hubieran obtenido a través de fuentes de acceso público. Estas cláusulas informativas cumplen los requisitos que impone el artículo 5 de la LOPD. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 Habida cuenta de que en el presente caso el denunciante no fue informado por B.B.B. a través de la carta que con el membrete de Talleres XXX le envió a su nombre y a su domicilio el 27/06/2014, comunicándole la reapertura del negocio, sobre el origen de sus datos personales, ni de la identidad y domicilio del responsable del fichero, ni tampoco de la posibilidad de ejercitar los derechos ARCO, tal y como exige el artículo 5. 4 de la LOPD, la conducta denunciada podría ser constitutiva de una infracción grave tipificada en el artículo 44.3.
- f)de la LOPD. No obstante lo anterior, debe indicarse que el artículo 45.6 de la LOPD dispone: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
- a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
- b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” Trasladando las consideraciones precedentes al supuesto que nos ocupa, se observa que la presunta infracción de la LOPD de la que se responsabiliza al denunciado sería una infracción “grave”; que el denunciado no ha sido sancionado o apercibido por este organismo en ninguna ocasión anterior y que, como veremos seguidamente, concurren de manera significativa en los hechos que analizamos varias de las circunstancias descritas en el artículo 45.5 de la LOPD. El artículo 45.5 de la LOPD señala que “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente". Pues bien, en el presente caso se aprecia la concurrencia de la circunstancia descrita en el apartado
- a)del artículo 45.5 de la LOPD –cualificada disminución de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 culpabilidad o de la antijuridicidad- en relación con el artículo 45.4, pues se cumplen las previsiones de los siguientes apartados de este precepto: apartado d), por el escaso volumen de negocio del presunto infractor, el titular de Talleres XXX; f), por la ausencia de intencionalidad en la conducta, como lo demuestra el hecho de que el denunciado, nada más conocer la existencia de las obligaciones que le impone la LOPD adoptó las medidas correctoras pertinentes y h), la naturaleza de los perjuicios causados al denunciante que, habida cuenta de las circunstancias que concurren, carecen de relevancia. Las anteriores reflexiones justifican que, en el presente caso, la AEPD no acuerde la apertura de un procedimiento sancionador y opte por aplicar el artículo 45.6 de la LOPD. No puede ignorarse, sin embargo, la Sentencia de la Audiencia Nacional de 29/11/2013, (Rec. 455/2011), Fundamento de Derecho Sexto, que respecto al apercibimiento regulado en el artículo 45.6 de la LOPD, y a propósito de su naturaleza jurídica, advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella y cuyo objeto es la imposición de medidas correctoras, la SAN citada concluye que cuando éstas ya hubieran sido adoptadas, lo procedente en Derecho es acordar el archivo de las actuaciones. Como ya hemos indicado, el denunciado una vez tuvo conocimiento de la normativa reguladora del derecho fundamental a la protección de datos de carácter personal obró con diligencia y procedió a adoptar las medidas correctoras necesarias para adecuar su conducta a las exigencias de la LOPD, incluyendo información sobre la identidad del responsable del fichero, la posibilidad de ejercitar los derechos ARCO, la finalidad del tratamiento y también sobre el origen de los datos en el supuesto de que se envíen comunicaciones comerciales por medio de papel a destinatarios cuyos datos procedan de fuentes de acceso público, e inscribió los dos ficheros de los que es titular en el Registro General de Ficheros de la AEPD. A la luz del pronunciamiento de la SAN de 29/11/2013 (Rec. 455/2011) relativo a aquellos supuestos en los que el denunciado ha adoptado las medidas correctoras oportunas, y de conformidad con lo expuesto, se procede al archivo de las actuaciones de investigación practicadas. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a D. B.B.B. y a D. E.E.E.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es