1/4 Expediente Nº: E/02387/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad FUNDACION CITIZENGO en virtud de denuncia presentada por la CROATIAN PERSONAL DATA PROTECTION AGENCY y teniendo como base los siguientes, HECHOS PRIMERO: Con fecha 3 de abril de 2018, tuvo entrada en esta Agencia un escrito de la Autoridad Croata de Protección de Datos en el que envían la comunicación de un ciudadano suyo que denuncia que alguien ha suplantado su identidad y ha firmado una petición en el portal de CitizenGO de Croacia en su nombre. Se aporta con la denuncia, el correo de confirmación de la firma de la petición, en el que consta la dirección IP desde la que se firmó. La Inspección de Datos de esta Agencia ha comprobado que la IP es de Croacia. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Se ha solicitado información a la plataforma Citizengo.org quien manifiesta que el titular del sitio web www.citizengo.org, es la Fundación CitizenGO. Que CitizenGO es una comunidad de ciudadanos que se reúne con la finalidad de facultar e impulsar su participación en la vida pública de sus países y en el ámbito internacional. A través de plataforma digital de CitizenGO los ciudadanos pueden dirigir sus peticiones a las autoridades locales, nacionales o mundiales, políticas o económicas, proponiendo a ciudadanos de todo el mundo apoyar sus peticiones. CitizenGO opera en 12 idiomas, uno de los cuales es el croata. CitizenGO manifiesta que jamás se hace público el email del firmante. Se incluye una diligencia con la política de privacidad y términos de uso del sitio web www.citizengo.org. En el formulario de recogida de datos de los firmantes, se recaban: nombre, apellidos, correo electrónico, país, código postal, IP del firmante; ID de la petición firmada, asunto de la petición firmada, fecha de la firma, y, en casos puntuales, comentarios y dirección postal. Cuando firma, el firmante recibe una confirmación/agradecimiento por la firma. Se utilizan modelos automáticos redactados en los distintos idiomas. CitizenGO no cede a terceros los datos de los firmantes de las peticiones alojadas en su web www.citizengo.org. En los términos de uso de la página web, se menciona cómo ejercitar los derechos ARCO, para lo que se indica una dirección postal y una electrónica. El elemento de identificación que se utiliza en la plataforma es la dirección C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 de correo electrónico. No se puede firmar una petición dos veces con el mismo correo electrónico. Se comprueba el formato, pero no se verifica que sea real, si bien existen mecanismos para ir descartando las que devuelvan los correos automáticos enviados por la plataforma. CitizenGO comunica en su escrito cuales fueron los datos personales que acompañaban al correo electrónico del denunciante y se comprueba que no coincide el nombre y apellidos con la dirección de correo. Por este motivo, manifiestan que se trataría de una introducción errónea del correo electrónico. Informan de que para comunicar la petición a la persona que tiene el poder para poner en práctica el cambio solicitado con las peticiones realizadas en la web, se recopila la información de todos los firmantes y se hace un documento con el nombre, apellidos, código postal, país y fecha y hora de la firma, pero nunca se incluye la dirección del correo electrónico. Incluyen un anexo donde se puede ver una lista asociada a una petición. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 6.1 y .2 de la LOPD, dispone: “
- El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa.
- No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, Fundamento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 Jurídico 7 primer párrafo, “(...) consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. La denuncia que nos ocupa versa sobre el tratamiento inconsentido del dato personal del denunciante, en concreto su correo electrónico que se utiliza para la firma de una petición en la web de la plataforma Citizengo.org. A través de plataforma digital de CitizenGO los ciudadanos pueden dirigir sus peticiones a las autoridades locales, nacionales o mundiales, políticas o económicas, proponiendo a ciudadanos de todo el mundo apoyar sus peticiones. La organización CitizenGO ha informado a esta Agencia del funcionamiento de su plataforma y confirma que no cede a terceros los datos de los firmantes de las peticiones alojadas en su web. En los términos de uso se menciona cómo ejercitar los derechos ARCO, se indica la dirección postal y electrónica. CitizenGO ha comunicado cuales fueron los datos personales que acompañaban al correo electrónico del denunciante y se comprueba que no coincide el nombre y apellidos con la dirección de correo electrónico. Por este motivo, manifiestan que se trataría de una introducción errónea del correo electrónico por parte del firmante de la petición en su página web. Por todo ello se concluye que, de los hechos investigados, no se aprecia vulneración a la normativa de protección de datos. No obstante sería aconsejable que en la plataforma Citizengo.org se contara con un mecanismo previo de confirmación de la dirección de correo electrónico introducida. Por ejemplo, estableciendo como paso previo obligatorio a la validación de la firma de la petición, la recepción de una respuesta manual a un correo que enviara el portal web de forma automática a la dirección de correo electrónico introducido en el formulario de la web. Este mecanismo habría imposibilitado, en el caso de la presente denuncia, la firma de la petición asociada a la dirección de correo electrónico del denunciante, y habría permitido descubrir que ésta no había sido introducida por su titular. Sería recomendable además, incluir en ese correo electrónico automático generado en cada petición, mención a los mecanismos para ejercitar los derechos ARCO que figuran en la política de privacidad de la web. III El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:
- PROCEDER AL ARCHIVO de las presentes actuaciones.
- NOTIFICAR la presente Resolución a la FUNDACION CITIZENGO y a la CROATIAN PERSONAL DATA PROTECTION AGENCY. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es