E-03771-2014

1/8 Expediente Nº: E/03771/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad MIBOX TECHNOLOGY S.L. en virtud de denuncias presentadas y teniendo como base los siguientes, HECHOS PRIMERO: Durante el mes de mayo de 2014, se han recibido en la Agencia Española de Protección de Datos diecisiete escritos de denuncia, entre ellos del Presidente del Consejo General de Colegios Oficiales de Enfermería de España y de la Fundación Salud y Sociedad. En ellos se ponen de manifiesto los siguientes hechos: El Consejo General de Colegios Oficiales de Enfermería de España (en adelante Consejo General) y la Fundación Salud y Sociedad (en adelante la Fundación) tenían suscrito un Acuerdo Marco de Colaboración con la mercantil MIBOX TECHNOLOGY SL (en adelante MIBOX), de fecha 22 de diciembre de 2009 y un anexo III de fecha 30 de diciembre de 2011 por el cual esta última compañía realiza servicios de formación y reciclaje contenidos en la Plataforma tecnológica E-nursing. Debido a deficiencias en el funcionamiento de la plataforma tecnológica aportada por MIBOX, el Consejo General y la Fundación deciden la resolución del contrato y se comunica a MIBOX mediante escrito de fecha 28 de marzo de 2014, siendo contestado por esta mercantil informando de la oposición a la resolución en escrito de fecha 31 de marzo de 2014. Y con fecha 9 de abril de 2014, el Consejo General y la Fundación se reiteran en la decisión de resolución del contrato. Con fecha 9 de mayo de 2014, desde la dirección mibox@.... y con el asunto “e-nursing, información de interés profesión enfermera” se ha remitido correo electrónico a enfermeros colegiados y trabajadores del Consejo, la Fundación y la entidad COFUNSALUD SA, firmado por MIBOX en el cual se presenta como propietaria de la plataforma E-nursing y donde se informa que el Consejo General ha rescindido unilateralmente el acuerdo por el que se garantizaba disponer de la plataforma hasta finales del año 2017, no obstante, la empresa ha decidido mantener la plataforma Enursing y proporcionar una licencia gratuita de la nueva versión de la plataforma denominada CLINURS desarrollada en Cloud y que permite el acceso desde Internet. El Consejo y los denunciantes manifiestan que MIBOX no tiene consentimiento para la remisión del correo electrónico mencionado. Adjunto a la denuncia se ha aportado, entre otra documentación, copia del mencionado correo electrónico. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 extremos: Tal y como consta en el Acta de Inspección E/3771/2014-I/1 realizada en la entidad MIBOX en fecha 10 de febrero de 2015: 1. MIBOX es una compañía que desarrolla sistemas de información en el entorno sanitario. En fecha 22 de diciembre de 2009, MIBOX firmó un Acuerdo Marco de Colaboración Profesional con el Consejo General con una duración de ocho años en el que se adjuntan dos Anexos donde se definen las relaciones del Acuerdo.  En el ANEXO I, el representante del Consejo General interviene además como representante de la FUNDACION SALUD Y SOCIEDAD. En dicho ANEXO I se estipula que MIBOX presta la plataforma tecnológica integrada por la base de datos DIANA, el programa informático denominado DIANA PRESCRIPTOR y la plataforma de Formación Virtual DIANA AV con objeto de que los colegiados en enfermería cursen la formación para la capacitación como enfermeros prescriptores en el marco de la normativa sobre el acceso al título de Graduado en Enfermería.  En el ANEXO II se dispone que MIBOX prestará al Consejo General y a la Fundación una plataforma tecnológica para el desarrollo, integración y difusión de las normas y estándares de la práctica profesional enfermera que debe establecer el Consejo. El Acuerdo de Colaboración y los Anexos reflejan que MIBOX proporciona a los colegiados el acceso a un AULA VIRTUAL (DIANA AV) para que realicen un curso de formación de las herramientas de prescripción de medicamentos (DIANA PRESCRIPTOR) integrados en la base de datos de medicamentos DIANA, tal y como estipula la modificación del artículo 77 de la Ley 29/2006 de Garantía del Uso Racional del Medicamento que permite a los profesionales de la enfermería la indicación, uso y autorización de medicamentos. La realización de este curso supone para colegiado el abono de un pago único que se realiza a través del Consejo General. Asimismo, MIBOX pone a disposición de los colegiados las herramientas mencionadas de la plataforma DIANA para su utilización. La utilización de la plataforma supone para el colegiado un pago mensual que también se articula a través del Consejo General. La plataforma DIANA pasó a denominarse E-nursing. Con fecha 30 de diciembre de 2011, se firma un ANEXO III, que deroga a los ANEXOS anteriores modificando las condiciones económicas, en el cual el representante del Consejo General interviene además como representante de una tercera entidad denominada COFUNSALUD SA, A la firma de este nuevo ANEXO III se encontraban registrados aproximadamente 80.000 profesionales de la enfermería en E-nursing. 2. La realización del curso de formación de las herramientas de prescripción de medicamentos DIANA PRESCRIPTOR se realizaba a través del AULA VIRTUAL, para lo cual, el colegiado debía registrarse en la plataforma E-nursing y solicitar la realización del curso. La plataforma le solicitaba los datos personales de: Nombre y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 apellidos, NIF, número de colegiado, titulación académica, dirección postal, teléfonos y dirección de correo electrónico y había que aceptar las condiciones de uso. En dichas condiciones, que figuraban en la página web www.e-nursingpractices.com, se hace referencia a la Ley Orgánica de Protección de Datos y se indica que los datos personales facilitados serán tratados en ficheros automatizados cuyo responsable es la Fundación Salud y Sociedad y consienten la comunicación de datos a un tercero en el seno de las entidades que integran con dicha Fundación el grupo corporativo del Consejo General de Enfermería. Asimismo consta: “En cumplimiento de lo dispuesto en el artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de datos de Carácter Personal, le informamos que los datos que usted libremente suministra a la aplicación Secretaria Virtual relativos al nombre y apellidos, NIF, dirección, teléfono y e-mail serán incorporados a un fichero denominado CLIENTES cuyo titular y responsable es la entidad MIBOX TECNOLOGY SL y su correspondiente soporte técnico así como para, según lo establecido en la LOPD, recibir información comercial de sus productos o de los productos desarrollados por cualquiera de la entidades con la que MIBOX TECNOLOGY SL conforme un grupo empresarial, tanto de los productos ya existentes como de los que en un futuro desarrollo MIBOX o cualquiera con la que conforme un grupo empresarial”. Posteriormente se informa de donde ejercitar los derechos ARCO. Al ser una aplicación desarrollada bajo el modelo cliente/servidor el usuario, una vez registrado, procedía a la descarga de la parte cliente de la aplicación en su Sistema Informático. 3. En marzo de 2014, el Consejo General remite un fax a MIBOX en el que resuelve el Acuerdo de Colaboración por deficiencias técnicas y en fecha 31 de marzo de 2014 MIBOX contesta al Consejo General indicando su discrepancia con la resolución del Acuerdo. No obstante, y con fecha 9 de abril de 2014 el Consejo General insiste en la resolución del Acuerdo de Colaboración. Por este motivo MIBOX tiene interpuesta una querella por estafa y una reclamación de cantidad por incumplimiento de contrato. Al inicio de la utilización de la plataforma, los servidores donde se encontraba alojada estaban contratados con ARSYS y en el año 2010 pasó a alojarse en servidores propios del Consejo General. Con motivo de la rescisión del Acuerdo el Consejo General bloqueó el acceso por parte de MIBOX a sus servidores. 4. Con fecha 9 de mayo de 2014, MIBOX remitió un correo electrónico, que se corresponde con el remitido por los denunciantes, a todos los colegiados que se habían registrado durante el año 2012 en el AULA VIRTUAL de E-nursing (unos 80.000) con objeto de informar de que el Consejo había rescindido el Acuerdo de Colaboración e informar del mantenimiento de la plataforma por parte de MIBOX ya que se encuentra dentro de los servicios de la cuota colegial, asimismo se informa que en un futuro se proporcionará una licencia gratuita de la nueva versión de Enursing denominada CLINURS desarrolla en cloud y de acceso a través de Internet. No obstante, CLINURS todavía no ha sido puesta en el mercado. Para la remisión del correo electrónico mencionado se utilizaron las direcciones de correo aportadas por los colegiados en el registro de sus datos en el AULA VIRTUAL y la mayor parte de ellas se mantienen en los ficheros de MIBOX, no obstante, y conocedores de la discrepancia con miembros del Consejo General, de la Fundación y de la entidad COFUNSALUD han cancelado de oficio los datos de algunos de sus C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 integrantes. A este respecto se ha verificado la existencia datos personales de doce de los denunciantes en los Sistemas de Información de MIBOX. No obstante, la búsqueda se ha realizado utilizando el nombre y primer apellido de los diecisiete denunciantes, y en algunos casos se han encontrado coincidencias parciales no habiéndose podido determinar si corresponden o no a alguno de los denunciantes. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En el presente caso se denuncia que la entidad Mibox Technology SL ha remitido un correo electrónico, con fecha 9 de mayo de 2014, desde la dirección mibox@.... y con el asunto “e-nursing, información de interés profesión enfermera”, a enfermeros, colegiados y trabajadores del Consejo General de Colegios Oficiales de Enfermería de España, la Fundación Salud y Sociedad y la entidad COFUNSALUD SA, sin su consentimiento. En este correo electrónico la entidad Mibox Technology se presenta como propietaria de la plataforma E-nursing y donde se informa de que el Consejo General ha rescindido unilateralmente el acuerdo por el que se garantizaba disponer de la plataforma hasta finales del año 2017. No obstante, la empresa comunica en el correo que ha decidido mantener la plataforma E-nursing y proporcionar una licencia gratuita de la nueva versión de la plataforma denominada CLINURS desarrollada en Cloud y que permite el acceso desde Internet. El Consejo General de Colegios Oficiales de Enfermería de España y los denunciantes manifiestan que MIBOX no tiene consentimiento para la remisión de este correo electrónico. Con fecha 22 de diciembre de 2009 el Consejo General de Colegios Oficiales de Enfermería de España y la entidad Mibox Technology suscribieron un Acuerdo Marco de Colaboración Como objeto de ese Convenio figura: “establecer la colaboración entre las partes para el desarrollo conjunto de un proyecto integral de desarrollo profesional enfermero a través de la ordenación profesional dirigido a los enfermeros y enfermeras integrados en la Organización Colegial de Enfermería, que incluye la normalización y estandarización de la práctica profesional, la elaboración e implementación de planes y programas de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 formación, la acreditación de profesionales, la certificación, el Registro de profesionales, y en definitiva, todos aquellos aspectos que contribuyan a la modernización de la profesión en consonancia con su regulación actual”. En su cláusula octava, el Convenio expresa: “De la Obligación de confidencialidad. Cada parte considerará confidencial toda la información que le sea entregada por la otra parte corno consecuencia de este Acuerdo o cualquiera de los respectivos Anexos, y la conservará con la mayor reserva, no haciendo uso de ella. Esta obligación subsistirá aun después de finalizar sus relaciones contractuales. Salvo autorización escrita, no se revelará a persona alguna esta información confidencial, ya fuera mediante su publicación o en cualquier otra forma. A los efectos de garantizar la reserva y confidencialidad respecto de los datos, documentos, informaciones y resultados facilitados, ambas partes se compromete a que únicamente socios y miembros de su personal tengan acceso a dicha información y documentación, respecto de los cuales subsiste igual obligación de confidencialidad. Cada parte tratará los datos e informaciones que reciba de la otra parte, conforme a las instrucciones de esta última, y no los aplicará o utilizará con el fin distinto para el que se le entregan, ni los comunicará, ni siquiera para su conservación, a otras personas. Una vez cumplida la prestación objeto de este Convenio, o en su caso, de los diferentes Acuerdos suscritos, los datos, preguntas, cuestionarios e informaciones recibidos o elaborados deberán ser devueltos a las partes originarias de los mismos, El deber de confidencialidad, perdurará al menos dos años desde la finalización del convenio o de sus respectivos Anexos”. Mediante este Acuerdo de Colaboración MIBOX proporciona a los colegiados el acceso a un AULA VIRTUAL (DIANA AV) para que realicen un curso de formación de las herramientas de prescripción de medicamentos (DIANA PRESCRIPTOR) integrados en la base de datos de medicamentos DIANA, tal y como estipula la modificación del artículo 77 de la Ley 29/2006 de Garantía del Uso Racional del Medicamento que permite a los profesionales de la enfermería la indicación, uso y autorización de medicamentos. La realización de este curso supone para colegiado el abono de un pago único que se realiza a través del Consejo General. MIBOX también pone a disposición de los colegiados las herramientas de la plataforma DIANA para su utilización lo que supone para el colegiado un pago mensual que también se realiza a través del Consejo General. La plataforma DIANA pasó a denominarse E-nursing. Para la realización de ese curso de formación el colegiado debía registrarse en la plataforma E-nursing y solicitarlo. La plataforma le requería los datos personales de: Nombre y apellidos, NIF, número de colegiado, titulación académica, dirección postal, teléfonos y dirección de correo electrónico y había que aceptar las condiciones de uso. En dichas condiciones, que figuran en la página web www.e-nursingpractices.com, se hace referencia a la Ley Orgánica de Protección de Datos y se indica que los datos personales facilitados serán tratados en ficheros automatizados cuyo responsable es la Fundación Salud y Sociedad y consienten la comunicación de datos a un tercero en el seno de las entidades que integran con dicha Fundación el grupo corporativo del Consejo General de Enfermería. También consta: “En cumplimiento de lo dispuesto en el artículo 5 de la Ley C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 Orgánica 15/1999, de 13 de diciembre, de Protección de datos de Carácter Personal, le informamos que los datos que usted libremente suministra a la aplicación Secretaria Virtual relativos al nombre y apellidos, NIF, dirección, teléfono y e-mail serán incorporados a un fichero denominado CLIENTES cuyo titular y responsable es la entidad MIBOX TECNOLOGY SL y su correspondiente soporte técnico así como para, según lo establecido en la LOPD, recibir información comercial de sus productos o de los productos desarrollados por cualquiera de la entidades con la que MIBOX TECNOLOGY SL conforme un grupo empresarial, tanto de los productos ya existentes como de los que en un futuro desarrollo MIBOX o cualquiera con la que conforme un grupo empresarial”. Posteriormente se informa de donde ejercitar los derechos ARCO. En el acta de inspección cursada con fecha 10 de febrero de 2015 por la Inspección de esta Agencia, en las dependencias de la entidad Mibox Technology se constató que entre los datos de su aula virtual, figuran los datos de doce de los diecisiete denunciantes encontrándose coincidencias parciales de los demás, en una búsqueda realizada por nombre y primer apellido. Mibox es responsable del fichero de usuarios de su plataforma virtual de formación. Estos usuarios al acceder a esta plataforma suministran libremente sus datos personales y son informados de los extremos previstos en el artículo 5 de la LOPD. Mibox envió un correo electrónico a sus usuarios el 9 de mayo de 2012. Estos usuarios son colegiados de enfermería que se registraron durante el año 2012 en el Aula Virtual de E-nursing, unos 80.000 según manifiesta Mibox. En el correo enviado se informa de una modificación en el convenio por medio del cual realizaban sus cursos de formación y se ofrece una solución para la continuación de la formación iniciada: el mantenimiento de la plataforma por parte de Mibox porque se encuentra dentro de los servicios de la cuota colegial y que se les proporcionará una licencia gratuita para la nueva versión del curso de formación. Mibox ha manifestado que, conocedores de la discrepancia con miembros del Consejo General, de la Fundación y de la entidad COFUNSALUD, han cancelado de oficio los datos de algunos de sus integrantes. En las denuncias presentadas se expone que, en su correo, Mibox mezcla información comercial con lo concerniente a la Organización Colegial de la que son miembros y que no les une con esa empresa ninguna relación contractual y mucho menos profesional o corporativa. En la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico se define en su anexo la Comunicación comercial como: “toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. En este caso, el correo enviado por la entidad Mibox a los usuarios de la plataforma de E-nursing, no puede considerarse como spam porque no se trata de una información comercial sino que, como ya se ha visto, se informa de un cambio en las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 condiciones contractuales en que se desarrolla el Convenio por el que se regula el acceso a la plataforma de formación; por ello es aplicable la normativa de protección de datos. El artículo 1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en cuanto al objeto de la Ley, establece lo siguiente: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. La LOPD, establece en su artículo 2.1, respecto de su ámbito de aplicación, lo siguiente: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”. A estos efectos, la misma ley en su artículo 3 define lo que ha de entenderse por dato de carácter personal: “cualquier información concerniente a personas físicas identificadas o identificables”. Por otra parte, se ha acreditado que el colegiado solicitaba la realización del curso de formación y se registraba en la plataforma E-nursing a la que aportaba sus datos personales, donde se le informaba de “que los datos que usted libremente suministra a la aplicación Secretaria Virtual relativos al nombre y apellidos, NIF, dirección, teléfono y e-mail serán incorporados a un fichero denominado CLIENTES cuyo titular y responsable es la entidad MIBOX TECNOLOGY SL…” De manera que los usuarios aportaban sus datos personales libremente y eran informados de que se incorporarían a un fichero cuyo responsable es la entidad Mibox, por lo que no puede estimarse la alegada ausencia de relación contractual, profesional o corporativa entre los usuarios de la plataforma formativa y la entidad Mibox, que adquiere la condición de responsable –con independencia de lo previsto en el clausulado- al decidir sobre la finalidad, contenido y uso del tratamiento según se deduce del servicio suministrado (artículo 3
2. d)de la LOPD). Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución y el anexo 1 a MIBOX TECHNOLOGY S.L. y a cada uno de los denunciantes la presente Resolución y exclusivamente el anexo que les corresponda. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es