1/4 Expediente Nº: E/02189/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES Examinado el escrito presentado por B.B.B.., relativo a la ejecución del requerimiento de la resolución de referencia R/00809/2015 dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento de apercibimiento A/00009/2015, seguido en su contra, y en virtud de los siguientes ANTECEDENTES DE HECHO PRIMERO: En esta Agencia Española de Protección de Datos se tramitó el procedimiento de apercibimiento de referencia A/00009/2015, a instancia de A.A.A., con Resolución del Director de la Agencia Española de Protección de Datos por infracción del artículo 11 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD). Dicho procedimiento concluyó mediante resolución R/00809/2015, de fecha 16 de abril de 2015 por la que se resolvía: REQUERIR a B.B.B..,. de acuerdo con lo establecido en el citado artículo 45.6 LOPD, para que en el plazo de UN MES desde la notificación de la presente resolución. 2.1 CUMPLA lo previsto en el art. 5 y 12 de la LOPD, para lo que se insta a la denunciada incluir en los formularios o documentos de recogida de datos, información que permita conocer a los titulares de los datos el tratamiento al que van a ser sometidos, incluyendo las cesiones previstas y el acceso de terceros. Asimismo en cuanto a la contratación de servicios con terceros que suponga la cesión o comunicación de los datos que tenga en su condición de responsable del fichero o tratamiento, deberá incluir en el contrato las previsiones contenidas en el art. 12 de la LOPD. 2.2 INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando los documentos u otros medios de prueba en los que se ponga de manifiesto su cumplimiento. Con objeto de realizar el seguimiento de las medidas a adoptar el Director de la Agencia Española de Protección de Datos insto a la Subdirección General de Inspección de Datos la apertura del expediente de actuaciones previas de referencia E/02189/
- SEGUNDO: Con motivo de lo instado en la resolución, el denunciado remitió a esta Agencia con fecha de entrada 8/05/2015 escrito en el que constaba las medidas tomadas al efecto: 1) Aporta clausulas informativas utilizadas de acuerdo con el art. 5 de la LOPD 2) Aporta contrato de acceso de datos por parte de un tercero a sus ficheros, de acuerdo con las exigencias del art. 12 de la LOPD. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la LOPD. II En el Fundamento de Derecho II y VII de la Resolución R/00809/2015 recaída en el procedimiento de Apercibimiento A/00009/2015 se hacía constar lo siguiente: <<II Dispone el art. 11.1 de la LOPD: Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. En cuanto al consentimiento del interesado, este admite distintas formas, es decir, expreso, tácito o presunto, con un requisito imprescindible, que sea informado, debiéndose deducir de distintos elementos aportados al expediente. NOVAURBE alega en su descargo que constan diversos documentos en los que aparece VEGAREAL como entidad gestora de la promoción, así como anuncios y publicaciones de donde se deduce con claridad la participación de esta en la adjudicación de las viviendas. Frente a tales manifestaciones es preciso señalar, que efectivamente existen elementos respecto de los que se puede deducir la participación de VEGAREAL en la promoción de las viviendas en cuestión, sin embargo no es posible deducir de tales elementos las exigencias informativas derivadas del deber de información previsto en el art. 5 de la LOPD, respecto del que el titular de los datos, conozca quien y para qué van a ser tratados sus datos personales por un tercero, en principio ajena a la relación jurídico-negocial primaria, entre aquel y el responsable del fichero, en este caso entre el denunciante y NOVAURBE. En la leyenda informativa que consta en el documento de febrero de 2009, consta la finalidad del tratamiento al que van a ser sometidos los datos del denunciante por parte de NOVAURBE, pero nada consta respecto de la cesión a VEGAREAL. Por lo que en modo alguno se puede entender prestado el consentimiento por parte del denunciante para la cesión de sus datos a VEGAREAL. Y en este punto es donde hay que analizar la relación entre NOAURBE y VEGAREAL en la medida que no consta habilitación legal (derivada de la existencia de un contrato en los términos del art. 12 LOPD) para el tratamiento de los datos de aquellas personas que voluntariamente decidieron formar parte en el proceso de adjudicación de viviendas antes citado. Asimismo debe señalarse que la leyenda informativa que consta en la solicitud de 22/12/2008, no cumple con las exigencias del art. 5 de la LOPD, pues no puede conocerse ni quien va a tratar los datos, para qué se van a tratar y frente a quien ejercer los derechos ARCO.>> <(…) Respecto de la vulneración del art. 11 LOPD en relación con el deber de información previsto en el art. 5 LOPD y su conexión con el principio de consentimiento, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 ya sea para el tratamiento, ya sea para la cesión o comunicación de datos, conviene destacar con carácter general, la necesidad de adecuación de las leyendas informativas utilizadas por NOVAURBE a las exigencias del art. 5 de la LOPD y especialmente la constancia de circunstancias específicas respecto de las cesiones de datos que se pudieran producir con indicación de las empresas cesionarias y la finalidad de dicha cesión. En relación al acceso por parte de terceros a los ficheros de NOVAURBE o las posibles comunicaciones que se pretendan realizar en el marco de un servicio prestado por un tercero (ya sea VEGAREAL o cualquier entidad), es preciso introducir las cláusulas que cumplan las exigencias del art. 12 de la LOPD. (…)> III En supuesto presente, del examen de las medidas adoptadas por B.B.B.., se constata que los clientes que contraten sus servicios son informados en los términos previstos en el art. 5 de la LOPD y en particular de la comunicación de sus datos personales a las entidades que prestan servicios a aquella, ofreciéndoles información respecto el ejercicio de sus derechos de acceso, rectificación, cancelación y oposición. Asimismo la relación con las entidades que prestan servicios a B.B.B.., y que acceden a los ficheros de los que es responsable aquella, esta regulada en el contrato aportado al expediente de acuerdo con las exigencias del art. 12 de la LOPD. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
- PROCEDER AL ARCHIVO de las presentes actuaciones.
- NOTIFICAR la presente Resolución a B.B.B.., De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es