1/6 Expediente Nº: E/03114/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante Don A.A.A., en virtud de denuncia presentada por Doña B.B.B., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 25 de abril de 2014, tuvo entrada en esta Agencia un escrito de denuncia de Doña C.C.C., Tesorera y Secretaria en funciones de la Asociación Unión Empleados Públicos Movimiento FUE (en adelante Movimiento FUE), en el que se pone de manifiesto los siguientes hechos: Don A.A.A., fue Secretario General de Movimiento FUE y, por tanto, custodiaba el fichero de afiliados de esta asociación y se apropió de los datos en él recogidos llevando una copia a su correo electrónico particular. Don A.A.A., con fecha 23 de abril de 2014, fecha en que ya había solicitado la baja en Movimiento FUE, remitió un correo electrónico desde la dirección .....@hotmail.com a todos los afiliados, sin utilizar “Copia Oculta”. Se acompaña copia del correo al que se hace referencia en el que figuran unas 135 direcciones de correos. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fechas 1 de agosto, 3 de septiembre y 6 de noviembre de 2014 se han remitido escritos de solicitud de información a Don A.A.A., siendo devueltas las cartas por el Servicio de Correos en todas las ocasiones, con la anotación de “Ausente reparto”. 2. Con fecha 28 de enero de 2015 se ha remitido un correo electrónico a la dirección .....@hotmail.com, dirección de correo que figura como remitente en el correo electrónico origen de la denuncia, sin haber obtenido respuesta. 3. Con fecha 12 de febrero de 2015, se remite solicitud de información a la denunciante con objeto de conocer la fecha en la que se produjo la baja en la Asociación de Don A.A.A., y de la respuesta recibida el 25 de marzo de 2015 se desprende: Don A.A.A. fue Secretario General de Movimiento FUE tal y como consta en el “Certificado del acta de Elección o modificación de los titulares de la Junta Directiva u Órgano de representación“, aportado por la denunciante, desde el 10 de octubre de 2013, tal y como figura en la “Resolución de inscripción de titulares de la Junta Directiva u órgano de representación en el Registro Nacional de Asociaciones del Ministerio del Interior” también aportado a esta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 Agencia por la denunciante. Doña C.C.C., en su calidad de Tesorera y Secretaria en funciones de Movimiento FUE manifiesta que Don A.A.A. solicitó la baja en la mencionada asociación en fecha 20 de abril de 2014. No obstante, no puede aportar ninguna documentación al respecto ya que, a petición del denunciado, fueron borrados sus datos de los ficheros y el correo electrónico donde solicitaba la baja y la cancelación de sus datos ya no está disponible. Doña C.C.C. manifiesta que el correo electrónico objeto de la denuncia, en su mayor parte, fue remitido a asociados al Movimiento FUE y no tiene constancia de que el denunciado posteriormente haya remitido correos electrónicos a los asociados. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En primer lugar, se debe señalar que el correo enviado por el denunciado se refiere a cuestiones referidas a la Asociación Unión de Empleados Públicos, Movimiento FUE, y relacionadas con una reunión que se celebraría el 29 de abril de 2014, a la que él no acudiría, a pesar de ser hasta ese momento Secretario General de la misma. Los destinatarios son miembros de la Asociación. El artículo 6 de la LOPD relativo al consentimiento de los afectados, dispone lo siguiente: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de la Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6,de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El artículo 6 de la LOPD consagra el principio del consentimiento o autodeterminación, piedra angular en la construcción del derecho fundamental a la protección de datos que alude a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme al citado precepto, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 el tratamiento de datos sin consentimiento del titular, o sin otra habilitación amparada en la Ley, constituye una vulneración de este derecho, pues sólo el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento de los datos personal. El Tribunal Constitucional, en su Sentencia 292/2000, de 30 de noviembre (Fundamento Jurídico 7), se refiere al contenido esencial de este derecho fundamental y expone que “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…)” En el caso que nos ocupa, en el marco de las actuaciones de investigación llevadas a cabo por esta Agencia, no se ha podido contactar con el denunciado para que aclarase los hechos que se le imputan; si bien si se tiene constancia de que los destinatarios del correo mantienen una relación con la Asociación de la que era Secretario el denunciado y las cuestiones que se debaten son sobre la actividad de dicha Asociación. Así pues, sobre la base de expuesto debemos concluir que, se han aportado indicios razonables de los que se deduce que el denunciando realizó un tratamiento legítimo de datos de las personas que forman parte del Movimiento FUE al que pertenecen y que facilitaron sus correos para esa finalidad. A este respecto se ha pronunciado la Audiencia Nacional. En la Sentencia de fecha 5 de febrero de 2013 (Rec. 468/2011) acerca de la necesidad de valorar las circunstancias concurrentes para valorar si existió consentimiento. “CUARTO: Se trata en definitiva de resolver en el procedimiento, de conformidad con la normativa y doctrina expuestas en el fundamento jurídico segundo, si el envío del correo electrónico de contenido publicitario por parte de Green Tal al denunciante, había sido solicitado o al menos previamente autorizado por tal receptor. Si bien es cierto que dicho consentimiento previo se niega por el destinatario del e-mail comercial, también lo es que en esta materia, al igual que en resto de las que integran el derecho administrativo sancionador, y tal y como argumenta Green Tal en la demanda, rige el principio de presunción de inocencia constitucionalmente consagrado en el artículo 24.2 CE. Así, constituye doctrina consolidada del Tribunal constitucional (SSTC 131/2033, de 30 de junio, y 245/205, de 10 de octubre) que una de las exigencias inherentes al derecho a la presunción de inocencia, es que la sanción ha de estar fundamentada en actos o medios probatorios de cargo o incriminadores de la conducta imputada, y que recae sobre la Administración pública actuante la carga probatoria tanto de la comisión del ilícito como de la participación del denunciado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 Pronunciándose en igual sentido la Jurisprudencia del Tribunal Supremo (STS 23/11/2004 (Rec. 207/2001) por todas), que hace mención a la necesidad de que en derecho administrativo sancionador exista una prueba plena de la culpabilidad, de tal forma que la presunción de inocencia prime en todas aquellas situaciones en las que se plantee la duda sobre la posible responsabilidad del sometido a procedimiento. Aplicando dicha doctrina al supuesto de autos y por las consideraciones que se acaban de exponer, esta Sala disiente de la fundamentación de la resolución combatida. Consideramos, en cambio, que sí ha quedado probada en las actuaciones la versión de que de los hechos acontecidos efectúa la entidad actora, tanto durante la tramitación del expediente administrativo, como asimismo en la demanda, pues tal descripción de antecedentes así se desprende, no sólo de la impresión de pantalla, altamente elocuente, que figura en el folio 33 del expediente administrativo, sino de relacionar dicho documento con la prueba testifical dela empleada de la actora que se relacionó con el denunciante, que también figura en el expediente y además ha sido practicada en el correspondiente periodo probatorio. Repárese asimismo en que dicho afectado es propietario de una empresa que presta servicios informáticos, entre ellos soluciones antispam y de protección de correos electrónicos de los clientes (documento 1 de la demanda). Tal material probatorio dota de verosimilitud a la cronología de antecedentes fácticos efectuada por la entidad recurrente en el sentido de que el repetido denunciante, previamente al envío del correo electrónico de promoción de los productos de la empresa, contactó telefónicamente con tal empleada de Green Tal, solicitando el envío de información comercial. Así, dadas las específicas circunstancias concurrentes y la relación de hechos que ha quedado probada a través de las pruebas documentales y testificales que se acaban de exponer, esta Sala concluye que resulta acreditado que sí hubo previa autorización para el envío del tantas veces aludido e-mail, por lo que no procede imposición de sanción alguna a la compañía recurrente, con anulación de la resolución de la AEPD aquí impugnada.” Por otra parte, la SAN de 13 de diciembre de 2012 expone que: “no hay infracción de la LOPD por enviar mensajes a los correos electrónicos de los trabajadores de una empresa por parte de un extrabajador. Ha de tomarse en consideración que tal denunciado estaba en posesión de las direcciones de correo electrónico de los tres denunciantes como consecuencia de una previa relación profesional con ellos, es decir, porque con anterioridad había sido también trabajador de la misma empresa de aquellos, y por tanto había tenido acceso legítimo a las direcciones de correo electrónico de éstos, datos personales consistentes en su dirección de correo que habían sido prestados con el consentimiento previo de los mismos, cuando todos eran trabajadores de la empresa Semark.” En el presente caso el envío de un correo como respuesta a la convocatoria de reunión para cuestionar publicaciones efectuadas por el remitente a los afectados por dicha reunión no cabe considerarlo como inadecuado o desproporcionado. III El artículo 10 de la LOPD establece que “El responsable del fichero y quienes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El envío de mensajes electrónicos debe atender también las obligaciones recogidas en la normativa vigente de protección de datos, en particular en lo relativo a preservar la confidencialidad de los destinatarios de los mensajes. A este respecto, cuando al remitente del mensaje le sea exigible este deber de secreto y siempre que no sean aplicables excepciones relacionadas con supuestos en los que los titulares estén ligados por relaciones de ámbito doméstico, laboral o profesional, se considera preciso el recurso a una modalidad de envío que ofrecen los programas de correo electrónico disponibles en el mercado, la cual permite detallar las direcciones electrónicas de los destinatarios múltiples en un campo específico del encabezado del mensaje: el campo CCO (copia oculta), en lugar del habitual CC. Es preciso tener en consideración, no obstante, la Sentencia de 14 de abril de 2008 de la Audiencia Nacional, que resolvió el recurso 379/2006 planteado contra una resolución de esta Agencia. En su Fundamento de Derecho Sexto recoge lo siguiente: <Precisamente el artículo 11.2.
- c)de la LOPD establece entre sus excepciones a la necesidad del consentimiento para poder facilitar datos a un tercero “que el tratamiento responda a una libre y legítima aceptación de una relación jurídica cuyo desarrollo cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros”. Ciertamente el denunciante está integrado en la asociación sancionada en cuanto propietario de una parcela sita en la urbanización [...] y en el seno de esa relación asociativa es legítimo facilitar información a los asociados sobre cuestiones de interés común, vinculadas a su actividad [...] Por tanto, la comunicación del nombre y apellidos de quien había presentado la denuncia, que también era asociado, en ámbito limitado de los miembros de la asociación no supone una revelación de secreto que deba ser sancionada al no existir deber de confidencialidad en este caso por estar amparada la comunicación en la relación jurídica asociativa>. En el presente caso existe una relación asociativa que vincula a los destinatarios del mensaje, no existiendo constancia de que las direcciones electrónicas de los miembros de la Asociación hubieran sido comunicadas a terceros AJENOS, por lo que, de acuerdo con el criterio expuesto, no se ha producido una vulneración del deber de secreto por parte del denunciado. Por último, no se ha acreditado la fecha en el que el denunciado dejo el Movimiento FUE, al no haber quedado constancia documental, según indicó la Presidenta. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a Don A.A.A. y Doña B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es