1/3 Expediente Nº: E/02190/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES Examinado el escrito presentado por VEGAREAL INNOVA S.L.. relativo a la ejecución del requerimiento de la resolución de referencia R/00870/2015 dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento de apercibimiento A/00010/2015, seguido en su contra, y en virtud de los siguientes ANTECEDENTES DE HECHO PRIMERO: En esta Agencia Española de Protección de Datos se tramitó el procedimiento de apercibimiento de referencia A/00010/2015, a instancia de A.A.A., con Resolución del Director de la Agencia Española de Protección de Datos por infracción del artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD). Dicho procedimiento concluyó mediante resolución R/00870/2015, de fecha 16 de abril de 2015 por la que se resolvía: (…)REQUERIR a VEGAREAL INNOVA, S.L. de acuerdo con lo establecido en el citado artículo 45.6 LOPD, para que en el plazo de UN MES desde la notificación de la presente resolución. 2.1 CUMPLA lo previsto en el art. 12 de la LOPD, en cuanto a la prestación de servicios a terceros que suponga el acceso a datos personales contenidos en ficheros de los que no sea responsable, o respecto de los que no tenga inicialmente el consentimiento para su tratamiento, debiendo incluir en el contrato que sustente dicha relación jurídica, las previsiones contenidas en el art. 12 de la LOPD. 2.2 INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando los documentos u otros medios de prueba en los que se ponga de manifiesto su cumplimiento.(…) Con objeto de realizar el seguimiento de las medidas a adoptar el Director de la Agencia Española de Protección de Datos insto a la Subdirección General de Inspección de Datos la apertura del expediente de actuaciones previas de referencia E/02190/
- SEGUNDO: Con motivo de lo instado en la resolución, el denunciado remitió a esta Agencia con fecha de entrada 08/05/2015 escrito en el que constaban las medidas tomadas al efecto, aportando copia del contrato de acceso de datos a ficheros respecto de los que no es ni responsable del tratamiento, ni responsable del fichero, sino que actúa como encargado de tratamiento en virtud de un contrato de prestación de servicios. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/3 I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la LOPD. II En los Fundamentos de Derecho V y VII de la Resolución R/00870/2015 recaída en el procedimiento de Apercibimiento A/00010/2015 se hacía constar lo siguiente: (…)En cuanto al consentimiento del interesado, este admite distintas formas, es decir, expreso, tácito o presunto, con un requisito imprescindible, que sea informado, debiéndose deducir de distintos elementos aportados al expediente. VEGAREAL alega en su descargo que constan diversos documentos en los que aparece como entidad gestora de la promoción, así como anuncios y publicaciones de donde se deduce con claridad la participación de esta en la adjudicación de las viviendas. Frente a tales manifestaciones es preciso señalar, que efectivamente existen elementos respecto de los que se puede deducir la participación de VEGAREAL en la promoción de las viviendas en cuestión, sin embargo no es posible deducir de tales elementos las exigencias informativas derivadas del deber de información previsto en el art. 5 de la LOPD, respecto del que el titular de los datos, conozca quien y para qué van a ser tratados sus datos personales por un tercero, en principio ajena a la relación jurídico-negocial primaria, entre aquel y el responsable del fichero, en este caso entre el denunciante y NOVAURBE. En la leyenda informativa que consta en el documento de febrero de 2009, consta la finalidad del tratamiento al que van a ser sometidos los datos del denunciante por parte de NOVAURBE, pero nada consta respecto de la cesión a VEGAREAL. Por lo que en modo alguno se puede entender prestado el consentimiento por parte del denunciante para la cesión de sus datos a VEGAREAL. Y en este punto es donde hay que analizar la relación entre NOAURBE y VEGAREAL en la medida que no consta habilitación legal (derivada de la existencia de un contrato en los términos del art. 12 LOPD) para el tratamiento de los datos de aquellas personas que voluntariamente decidieron formar parte en el proceso de adjudicación de viviendas antes citado. Asimismo debe señalarse que la leyenda informativa que consta en la solicitud de 22/12/2008, no cumple con las exigencias del art. 5 de la LOPD, pues no puede conocerse ni quien va a tratar los datos, para qué se van a tratar y frente a quien ejercer los derechos ARCO. Por todo ello el tratamiento realizado por VEGAREAL vulnera lo dispuesto en el art. 6.1 de la LOPD que señala que: “el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”, en la medida que no se ha acreditado la prestación del consentimiento, ni dispensa legal que pudiera existir.(…) (…)Ahora bien, respecto de la vulneración del art. 6 de la LOPD, derivada de su actuación en relación con NOVAURBE y la cesión realizada por ésta, es preciso que VEGAREAL adecue los contratos de servicios que realice con terceros, donde exista un tratamiento de datos, a lo dispuesto en el art. 12 de la LOPD.(…) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/3 III En supuesto presente, del examen de las medidas adoptadas por VEGAREAL INNOVA S.L.., se constata que existe un contrato de encargado de tratamiento que regula el acceso por parte de esta a ficheros respecto de los que no ostenta su titularidad como causa de un contrato de prestación de servicios, reuniendo los requisitos previstos en el art. 12 de la LOPD. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
- PROCEDER AL ARCHIVO de las presentes actuaciones.
- NOTIFICAR la presente Resolución a VEGAREAL INNOVA S.L.., De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es