E-02500-2013

1/5 Expediente Nº: E/02500/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos en virtud de denuncia presentada por Doña A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 8 de abril de 2013, tuvo entrada en esta Agencia un escrito remitido por Doña A.A.A. en el que declara que su hija B.B.B. fue invitada a una reunión en el Hotel XXXXXXX, para una beca consistente en la realización de prácticas de FP en Alemania, respondiendo a la información publicada en el enlace HTTP://.......................1 Manifiesta que el día 7 de abril de 2013 al llegar a dicha reunión se encuentra que todos los jóvenes convocados (alrededor de 20) solicitaron la beca citada anteriormente, comprobando que realmente habían sido engañados, ya que la citación provenía de la empresa a la que corresponde la dirección http://.......................2, que está captando comerciales en España para una venta piramidal, sin ninguna relación con lo indicado en la convocatoria. Indica que no recuerda que en ningún momento en la solicitud de beca consintieran en la cesión de datos. Les indicaron que se encuentran realizando captación de nuevos comerciales por toda España, así los próximos lugares a visitar eran Marbella y la semana próxima Orense. Con fecha 20 de mayo de 2013, se recibió en esta Agencia un nuevo escrito de la denunciante adjuntando copia del correo electrónico mediante el cual se citaba a su hija a la reunión en el Hotel XXXXXXX. Únicamente se aporta el texto del correo, sin datos de cuenta de correo origen, ni destino, asunto, o fecha. El texto del mensaje no es nominativo. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 17 de abril de 2013, la Inspección de Datos solicitó a la denunciante copia de la solicitud de beca así como impresión de las cabeceras de Internet del correo electrónico recibido. Se aportó copia de la solicitud de beca y no se acompañaron las cabeceras de Internet, ni datos de la dirección de destino del correo. Únicamente se aporta de nuevo el texto correo electrónico incluyendo una línea con el supuesto origen “C.C.C.” ........@gmail.com y como fecha del correo el 2 de abril de 2013. Se verificó que la dirección URL citada por la denunciante “HTTP://.........................1” apunta a una página que ya no existe en Internet. Se comprobó que el titular del dominio synergyworldwide.com se encuentra en Utah (Estados Unidos). La dirección de la empresa indicada en la propia página web C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 también corresponde a Utah. Por otra parte, se comprueba que la entidad tiene una agenda de eventos publicada en su página web, no encontrando ninguno en España en abril de 2013, ni en ninguna otra fecha. Se constató, así mismo, que la solicitud de beca aportada tiene un logotipo con el literal “EMS ACHSE Jobmotor Nordwest”. Desde esta Inspección de Datos se comprueba mediante una conexión a Internet que existe un sitio web www.emsachse.de con domino de Alemania (.

1. de)con el mismo logotipo. Se encuentra también una página en dicho sitio con una solicitud similar a la solicitud de beca aportada por la denunciante. La entidad se encuentra en Papenburg (Alemania). Por otro lado, en el texto del mensaje aportado por la denunciante se lee: “Buenos días, como había prometido te envío los datos para la reunión empresarial: El encuentro se realizara el Domingo 07.04.2013 de 17 - 19 Horas en el Hotel XXXXXXX (C/.........................1) ***CP.1Málaga Como había anunciado hemos reservado para ti y tus 2 invitados plazas, te pido por favor que me afirmes tu asistencia y la de tus invitados hasta el Jueves 04.04.2013 ya que tenemos plazas limitadas. Te espera una tarde emocionante, una perspectiva profesional interesante, y me alegro de conocer te en persona. Saludos ***CCC.1” FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
2. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo el artículo 11. 1 y 2 de la LOPD, relativo a la cesión de datos, que señala lo siguiente: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5
3. a)Cuando la cesión está autorizada en una Ley.
4. b)Cuando se trate de datos recogidos de fuentes accesibles al público.
5. c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique.
6. d)Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco será preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas.
7. e)Cuando la cesión se produzca entre Administraciones Públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos.
8. f)Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica.” Se habría producido una cesión de datos por parte de la empresa alemana a la entidad americana de venta piramidal, sin contar con el consentimiento de la afectada. Al efectuar las actuaciones previas de investigación, se verificó que la dirección URL citada por la denunciante “HTTP://.........................1” apunta a una página que ya no existe en Internet (a pesar de no acompañar las cabeceras del mensaje recibido, se ha investigado). Se comprobó que el titular del dominio synergyworldwide.com se encuentra en Utah (Estados Unidos). La dirección de la empresa indicada en la propia página web también corresponde a Utah. Por otra parte, se ha constatado que la entidad tiene una agenda de eventos publicada en su página web, no encontrando ninguno en España en abril de 2013, ni en ninguna otra fecha. A ello hemos de añadir que la solicitud de la beca se realiza en un sitio web con dominio de Alemania. Si bien esta Agencia no duda de la veracidad de lo manifestado por la denunciante, lo aportado por ésta junto a su escrito de denuncia y posterior de subsanación, se configura como insuficiente para acreditar los hechos denunciados. No consta que la información suministrada por la web, y razón por la que, de forma voluntaria, se aportaron los datos de la hija de la denunciante, fuera distinta del sentido de la reunión a la que fueron convocados aquellos que rellenaron el correspondiente formulario. También debe señalarse que, solicitada a la denunciante información y cabeceras del email remitido por la entidad denunciada, la denunciante ha aportado simplemente el texto del mensaje, sin incluir las cabeceras del mensaje, ni referencia del remitente, lo que impide acreditar la autoría del mismo e imputar a la entidad denunciada del email, por lo que, junto a lo señalado al respecto de la falta de pruebas del carácter fraudulento o engañoso de la captación de datos, o del sentido de la reunión celebrada, en el presente caso no concurren los elementos suficientes que acrediten los hechos denunciados y, por tanto, la existencia de una actuación infractora en materia de protección de datos, más aún cuando tampoco consta tratamiento de datos posterior a la puesta en contacto con la denunciante y que se encuentre vinculado a un uso fraudulento o engañoso de los mismos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 A partir de lo anterior, hemos de tener en cuenta que, en base a sus especiales consecuencias, el derecho administrativo sancionador es especialmente garantista con los administrados, por lo que le son de aplicación, sin excepciones, pero con matices, los principios del procedimiento penal, destacando entre ellos el principio de presunción de inocencia, el cual ha de ser respetado en la imposición de cualesquiera sanciones, pues el ejercicio del ius puniendi en sus diversas manifestaciones está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. Así, la activación de un procedimiento ha de fundamentarse en una aportación suficiente de elementos que permitan justificar el inicio de actuaciones, no pudiendo fundamentarse en afirmaciones no debidamente acreditadas, sin un sustento probatorio que refuerce las argumentaciones del denunciante. En este sentido, la sentencia del Tribunal Constitucional de 20 de febrero de 1989 indica que “Nuestra doctrina y jurisprudencia penal han venido sosteniendo que, aunque ambos puedan considerarse como manifestaciones de un genérico favor rei, existe una diferencia sustancial entre el derecho a la presunción de inocencia, que desenvuelve su eficacia cuando existe una falta absoluta de pruebas o cuando las practicadas no reúnen las garantías procesales y el principio jurisprudencial in dubio pro reo que pertenece al momento de la valoración o apreciación probatoria, y que ha de juzgar cuando, concurre aquella actividad probatoria indispensable, exista una duda racional sobre la real concurrencia de los elementos objetivos y subjetivos que integran el tipo penal de que se trate.” Asimismo, se debe tener en cuenta, en relación con el principio de presunción de inocencia lo que establece el art. 137 de LRJPAC: “1. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” De acuerdo a lo visto, por tanto, es necesaria la aportación de elementos con el suficiente peso probatorio, como para poner en tela de juicio la “apriorística” presunción de inocencia, circunstancia que no se da en el presente caso. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a Doña A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es