← España

E-02373-2013

1/5 Expediente Nº: E/02373/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades CPO NETWORKIN, S.L, y MEDIA PROA, S.L., en virtud de denuncia presentada por la Fundación Aerce, y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 6 de marzo de 2013, tuvieron entrada en esta Agencia dos escritos remitidos por Don B.B.B. y Don A.A.A., en el que denuncian los siguientes hechos: Con fecha 20 de septiembre de 2012, AERCE firmó un contrato de colaboración profesional con la entidad CPONET Networkin, dirigida al desarrollo de un programa de comunicación y captación de socios para AERCE y de funciones de comisionista de ARECE por CPONET. Dicho contrato, en su cláusula 7ª, contenía la previsión de la entrega y destrucción posterior de sus bases de datos para la finalidad del contrato. Con fecha 15 de enero de 2013, se resuelve el citado contrato, mediante el envío de Burofax de fecha 17 de enero de 2013, desde el Despacho de abogados contratado por AERCE. No obstante, CPONET ha retenido los datos y sigue usándolos mediante envíos, vía internet, a un elevado número de usuarios cuyos datos se han extraído de las bases de datos utilizadas en la prestación del servicio. Con fecha 17 de julio de 2013, remiten copia de diferentes correos electrónicos mandados a asociados de AERCE a sus e-mails personales. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:

  1. Con fecha 19 de julio de 2013, se realizó visita de inspección a los locales correspondientes a las entidades MEDIA PROA, S.L. y CPONET NETWORKIN, S.L.U, que se encuentran ubicadas en el mismo domicilio, poniéndose de manifiesto los siguientes hechos durante la inspección: 1.
  2. MEDIA PROA, S.L., es una entidad que presta servicios de comunicación y organización de eventos. Hace aproximadamente cinco años la Fundación AERCE les encargó la edición de una revista. 1.
  3. Con fecha 26 de febrero de 2010, se constituye la empresa CPONET Networkin, S.L.U, con capital social de Media Proa y tres socios más, con la finalidad de la creación de una Plataforma de Red social, con nombre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 comercial CPONET, para Directores de Compra y Proveedores. Unos meses después AERCE, mediante acuerdo escrito de colaboración, aporta su Base de Datos de asociados a la citada Plataforma, según consta en el Anexo con fecha 2 de agosto de 2010, al Contrato de Prestación de servicios de fecha 14 de abril de
  4. 1.
  5. Con fecha 20 de enero de 2011, AERCE FORMACION Y SERVICIOS, S.L.U, compra íntegramente la entidad CPONET Networkin, S.L.U, con todos sus activos. 1.
  6. Con fecha 23 de diciembre de 2011, procede a la venta de dicha empresa a la entidad Media Proa, S.L., siendo adquirida en las mismas condiciones, es decir con todos sus activos incluyendo las Bases de datos. Según consta en la cláusula del citado contrato de compra-venta, AERCE ENTREGA EN EL ACTO DE ESTA COMPRAVENTA UNA RELACION PORMENORIZADA DE LOS DATOS PROFESIONALES DE LOS SOCIOS DE AERCE. ASIMISMO, COMUNICARÁ MENSUALMENTE Y CON CARÁCTER INDEFINIDO, LAS VARIACIONES QUE SE PRODUZCAN EN ELLA, CONSISTENTE EN ALTAS Y BAJAS DE SOCIOS Y MOFICIACIONES DE LOS DATOS REFERIDOS DE LOS MISMOS. Se adjunta copia del contrato y de la escritura de compraventa. Por este motivo, Media Proa firma un contrato con la entidad CPONET Networkin, S.L.U., como encargada del tratamiento y mantenimiento de la Plataforma. 1.
  7. Con fecha 20 de septiembre de 2012, AERCE suscribe un contrato de prestación de servicios con Media Proa con la finalidad de continuar con la edición de la revista y la organización del Congreso anual. Dicho contrato es resuelto por AERCE en fecha 15 de enero de
  8. 1.
  9. Con relación a la copia del escrito de resolución de contrato, en el que AERCE, requiere a Media Proa para que destruya tosas las bases de datos que le haya facilitado, informan que: 1.6.1.Siguiendo dichas instrucciones, Media Proa procedió a la destrucción de la base de datos de socios suscriptores de la revista, no así la base de datos de asociados de AERCE que eran usuarios de la Plataforma de Redes Sociales CPONET, ya que ésta había sido adquirida por Media Proa, S.L., como un activo más de la empresa CPONET Networkin, S.L.U con fecha 23 de diciembre de 2011, según consta en el contrato fechado el 30 de diciembre de
  10. 1.
  11. Con relación a los correos electrónicos recibidos por asociados de AERCE: 1.7.1.Únicamente se remiten correos electrónicos a usuarios de la Plataforma que se encuentren en activo. 1.7.2.Todas las personas que se encuentran en la base de datos utilizada en la Plataforma, son personas de contacto de empresas, ya que dicha Plataforma es utilizada por Directores de Compra de empresas u otras personas encargadas de compra a proveedores. 1.7.3.Todos los destinatarios de los correos que se reciben en esta Agencia y que le son mostrados al inspeccionado, son personal de AERCE, excepto uno de ellos. 1.7.4.Todos ellos, son usuarios de la Plataforma CPONET, a la que se accede C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 mediante usuario y contraseña, la cual ha de ser confirmada por el titular. Asimismo, tienen opción a través de la misma a solicitar la baja como usuario, o solo solicitar no recibir información. Además, en todos los correos enviados existe un enlace a un formulario donde también se puede solicitar la baja. 1.
  12. Mediante acceso a la Plataforma CPONET se realizan las siguientes comprobaciones: 1.8.1.Para acceder a la zona de socios es necesario un usuario y una contraseña. 1.8.2.Existe un formulario para que una persona pueda darse de alta, siempre como personal de empresa, en que se solicita, entre otros, el cargo que ocupa en la empresa, existiendo diferentes opciones que el formulario ofrece en un desplegable, comprobándose que todas las opciones se refieren a contactos con personal de las empresas. Dicho formulario incluye una leyenda informativa sobre Política de Privacidad. 1.8.3.Existe la posibilidad de que el usuario a través de la Plataforma pueda acceder, modificar o dar de baja sus datos, y oponerse a la recepción de correos. Todo ello documentado mediante impresiones de pantalla de las comprobaciones realizadas, que se encuentran adjuntas al Acta de inspección. 1.8.4.Mediante usuario administrador, se accede a los datos de los correos electrónicos mostrados, verificándose que todos ellos son usuarios de la Plataforma, excepto uno de ellos, que según manifiesta el representante de las entidades, es el Director General de AERCE, el cual debe haberse dado de baja o haber cancelado sus datos con posterioridad al envío del correo mostrado. 1.
  13. Se verifica que de los seis correos mostrados, cinco de ellos su registro fue en el año 2010, excepto uno de ellos que fue en el
  14. Asimismo, se verifica que solo uno de ellos se encuentra activo en la actualidad, siendo todos ellos personas de contacto de empresas. 1.10.Se verifica que en la base de datos existen alrededor de 16.500 usuarios registrados, y solo 3.000 corresponden a la base de datos comprada en su día a AERCE. 1.11.Se comprueba que desde uno de los correos electrónicos recibidos por el representante de las entidades, como usuario de la Plataforma, desde la Opción “Darse de Baja”, se accede al mismo formulario existente en la Plataforma. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La fundación AERCE se configura como una Asociación de profesionales que cuentan con la condición de representantes de empresas y entidades, de lo que se deriva que las bases de datos comunicadas a CPONET esta configuradas por dichos profesionales. En este contexto, hemos de tener en cuenta si, dado el ámbito del posible tratamiento producido, sería de aplicación lo dispuesto en la normativa en materia de protección de datos de carácter personal. Así, el artículo 3 de la LOPD nos define datos de carácter personal como: “cualquier información concerniente a identificables.” personas físicas identificadas o De acuerdo a lo anterior, se infiere que la protección que otorga la LOPD no es aplicable en ningún caso a los datos referidos a personas jurídicas, y, por tanto, en la medida en que el tratamiento de datos denunciado va referido a profesionales que se configuran como representantes de entidades o que actúan dentro de su condición profesional como personas jurídicas, el visado sobre su tratamiento quedaría fuera de la competencia de la normativa en materia de protección de datos y por tanto de esta Agencia Española de Protección de Datos. Así, el informe del año 2008 elaborado por el Gabinete Jurídico de esta Agencia, referente al “Ámbito de aplicación de la legislación de protección de datos. Aplicación a empresarios individuales y “personas de contacto” (art. 2.2 y 2.3 del Reglamento).” en su fundamento III nos dice: “(...) ambos interlocutores intervienen en el presente supuesto, como ha quedado acreditado, en el desempeño de las funciones de apoderamiento que le son propias como representantes de las citadas entidades, desarrollando, en todo momento, una actividad mercantil claramente separada de sus respectivas actividades privadas. (...) los hechos expuestos se circunscriben a unas actuaciones desarrolladas, por los representantes de las sociedades implicadas, exclusivamente en el ámbito de actuación de las mismas, y en concreto en el desarrollo de la actividad inmobiliaria que constituye su objeto social, que, como ha quedado señalado, comprende la construcción, promoción, adquisición y venta de inmuebles. En consecuencia, el tratamiento de los datos de que traen causa las presentes actuaciones de inspección no se encuentra incluido dentro del ámbito de aplicación establecido en la LOPD”.(…) Por tanto, hemos de considerar que el tratamiento denunciado se refiere a datos vinculados con la dimensión profesional de los asociados (independientemente de los contratos y compra-ventas efectuados con las empresas denunciadas), lo que impide la activación de la normativa en materia de protección de datos de carácter personal, al quedar dicha dimensión, como se ha indicado, fuera del ámbito competencial de la LOPD y, por lo tanto, de esta Agencia Española de Protección de Datos de Carácter Personal. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5
  15. PROCEDER AL ARCHIVO de las presentes actuaciones.
  16. NOTIFICAR la presente Resolución a CPO NETWORKIN, S.L., MEDIA PROA, S.L., y a FUNDACION AERCE. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.