E-04059-2013

1/5 Expediente Nº: E/04059/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos en virtud de denuncia presentada por el CONSEJO GENERAL DE LOS PROCURADORES DE LOS TRIBUNALES DE ESPAÑA y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 13 de junio de 2013 tiene entrada en esta Agencia un escrito del Presidente del CONSEJO GENERAL DE LOS PROCURADORES DE LOS TRIBUNALES DE ESPAÑA (CGPE) en el que denuncia a la compañía que ha publicado en internet los datos de contacto de 6.500 procuradores, a través de la dirección web www.todoley............. Según expone en el escrito, el Censo de Procuradores de los Tribunales, del que es responsable el CGPE, constituye un fichero de acceso público, de acuerdo con la normativa de protección de datos, si bien considera que han de tenerse en consideración algunas cuestiones relativas a los datos publicados en el citado sitio web. La denuncia se interpone a los efectos de que se depuren responsabilidades si no hubieran sido atendidos el requisito de inscribir el fichero correspondiente en el Registro General de Protección de Datos y el requisito de información previsto en el artículo 5 de la LOPD. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. De la información que obra en el Registro General de Protección de Datos se desprende que el fichero “TODO LEY” figura inscrito a nombre de HTTPLAB NETWORKS, S.L. desde el 10 de junio de 2013, con la siguiente descripción: “Incluye datos de contacto profesional de los profesionales del sector legal que recopila la web. La finalidad es la de ofrecer una recopilación de todos los profesionales del sector legal para facilitar el contacto a las personas que puedan requerir de los servicios de dichos profesionales en un momento determinado”. 2. En respuesta al requerimiento de la Inspección de Datos, la compañía HTTPLAB NETWORKS, S.L. ha aportado copia del contrato suscrito el 15 de septiembre de 2013 con la compañía VIAVIP ESPAÑA, S.L., en el que se acuerda la transmisión a la primera de la totalidad del negocio asociado al sitio web TODOLEY.NET, lo que supone la transmisión del control para su desarrollo y explotación. En el documento se hace referencia a la transmisión de una base de datos que contiene, en particular, datos de más de 7.000 procuradores. En la cláusula 5.5 HTTPLAB NETWORKS, S.L. se compromete a cumplir con las obligaciones de comunicación y a respetar los derechos previstos en el artículo 5 de la LOPD. 3. Respecto de la procedencia de los datos, HTTPLAB NETWORKS, S.L. ha declarado: “La información contenida en http://www.todoley............/ ha sido recogida de forma manual de las webs oficiales de los diferentes Colegios Oficiales y fuentes complementarias, como cgpe.es.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 4. HTTPLAB NETWORKS, S.L. ha manifestado: “La información a los profesionales titulares de los datos, se realiza mediante la incorporación a la página web www.todoley.net de los correspondientes Aviso Legal, Política de Privacidad y Protección de Datos. En los citados apartados de la página web se puede ver la información relativa a la existencia de un fichero o tratamiento, de su finalidad, de los destinatarios de la información, de la posibilidad de ejercitar los derechos ARCO, así como de la identidad y dirección del responsable del tratamiento. Por el momento, no ha habido comunicación individual a cada uno de los profesionales dado el esfuerzo desproporcionado que ello supondría, debido al alto número de profesionales de diferentes países incluidos en el directorio. En todo caso, se ha procedido a la cancelación de los datos de aquellos profesionales que nos han comunicado su deseo de no figurar en nuestro directorio. No obstante lo anterior, se está procediendo a comunicar personalmente y progresivamente a los profesionales informándoles de su inclusión, por medio de un correo informativo y de llamadas telefónicas.” 5. HTTPLAB NETWORKS, S.L. ha aportado asimismo copia de la comunicación dirigida en el mes de febrero de 2013 al Colegio de Procuradores de A Coruña, en la que se realizaban, entre otras, las siguientes afirmaciones: “La finalidad de nuestra página web no es la realización de actividades publicitarias, ni tampoco realizar promoción comercial alguna, sino la promoción de forma gratuito de los servicios de los profesionales. El ejercicio de los derechos ARCO que reconoce la LOPD, se cumple estrictamente por nuestra empresa, si bien como es sabido, el mismo debe ejercitarse directamente por el titular de los datos, al tratarse de un derecho de carácter personalísimo. Por último y de conformidad al Reglamento de desarrollo de la LOPD RD 1720/2007, el tratamiento de datos que se realiza por nuestra empresa, responde a la satisfacción de un interés legítimo, cual es la información sobre distintos profesionales en activo en distintas poblaciones de España o de otros países de Europa. En este caso, y de conformidad con el art. 6.2 de la LOPD, entendemos que no se vulnera ningún derecho ni libertad fundamental de los interesados, puesto que no puede entenderse vulnerada, ni su honor ni intimidad personal ni familiar, al tratarse exclusivamente, como ya hemos señalado, de datos (nombre, apellidos, teléfono profesional y dirección profesional) incluidos en fuentes de acceso público.” 6. Al respecto de los derechos ARCO, HTTPLAB NETWORKS, S.L. ha declarado: “A través de la página web en los apartados PROTECCIÓN DE DATOS y AVISO LEGAL, se detalla el procedimiento a seguir para el ejercicio de los derechos ARCO, que consiste en lo siguiente: EJERCICIO DE DERECHOS: Los derechos de acceso, rectificación, cancelación y oposición, podrán ser ejercitados por el usuario, o quien a este represente, mediante solicitud por correo electrónico a la dirección contacto@todoley.net. AVISO LEGAL Los profesionales pueden oponerse a estar incluidos dentro de esta recopilación enviando un escrito identificándose y con la solicitud de querer ser eliminados sus datos profesionales a la dirección de contacto de la empresa.” 7. Por la Inspección de Datos se ha verificado que la citada información figura actualmente accesible a través del sitio web denunciado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En relación la notificación e inscripción registral, el artículo 26 de la LOPD prevé: “1. Toda persona o entidad que proceda a la creación de ficheros de datos de carácter personal lo notificará previamente a la Agencia de Protección de Datos. 2. Por vía reglamentaria se procederá a la regulación detallada de los distintos extremos que debe contener la notificación, entre los cuales figurarán necesariamente el responsable del fichero, la finalidad del mismo, su ubicación, el tipo de datos de carácter personal que contiene, las medidas de seguridad, con indicación del nivel básico, medio o alto exigible y las cesiones de datos de carácter personal que se prevean realizar y, en su caso, las transferencias de datos que se prevean a países terceros. 3. Deberán comunicarse a la Agencia de Protección de Datos los cambios que se produzcan en la finalidad del fichero automatizado, en su responsable y en la dirección de su ubicación. 4. El Registro General de Protección de Datos inscribirá el fichero si la notificación se ajusta a los requisitos exigibles. En caso contrario podrá pedir que se completen los datos que falten o se proceda a su subsanación. 5. Transcurrido un mes desde la presentación de la solicitud de inscripción sin que la Agencia de Protección de Datos hubiera resuelto sobre la misma, se entenderá inscrito el fichero automatizado a todos los efectos.” En el presente caso, de las informaciones de que dispone la Agencia se desprende que el fichero denunciado fue inscrito en el Registro General de Protección de Datos en el mes de febrero de 2010, figurando como responsable del mismo, desde el 10 de junio de 2013, la compañía HTTLAB NETWORK, S.L., por lo que no cabe entender que no haya sido atendido la obligación contenida en el artículo 26 de la LOPD. III En relación con el derecho de información, el artículo 5 de la LOPD establece: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
2. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
3. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5
4. c)De las consecuencias de la obtención de los datos o de la negativa suministrarlos.
5. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
6. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
7. c)y
8. d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban. 4. Cuando los datos de carácter personal no hayan sido recabados del interesado, éste deberá ser informado de forma expresa, precisa e inequívoca, por el responsable del fichero o su representante, dentro de los tres meses siguientes al momento del registro de los datos, salvo que ya hubiera sido informado con anterioridad, del contenido del tratamiento, de la procedencia de los datos, así como de lo previsto en las letras a),
9. d)y
10. e)del apartado 1 del presente artículo. 5. No será de aplicación lo dispuesto en el apartado anterior cuando expresamente una Ley lo prevea, cuando el tratamiento tenga fines históricos, estadísticos o científicos, o cuando la información al interesado resulte imposible o exija esfuerzos desproporcionados, a criterio de la Agencia de Protección de Datos o del organismo autonómico equivalente, en consideración al número de interesados, a la antigüedad de los datos y a las posibles medidas compensatorias. Asimismo, tampoco regirá lo dispuesto en el apartado anterior cuando los datos procedan de fuentes accesibles al público y se destinen a la actividad de publicidad o prospección comercial, en cuyo caso, en cada comunicación que se dirija al interesado se le informará del origen de los datos y de la identidad del responsable del tratamiento así como de los derechos que le asisten.” En el presente caso, tal y como se ha detallado en los Hechos 4 y 6, los profesionales afectados son informados, por distintas vías, del tratamiento por HTTLAB NETWORK, S.L. de sus datos de contacto profesional, recabados, según lo expuesto, de diversas organizaciones colegiales, así como de los medios previstos para el ejercicio de sus derechos ARCO. Como ya se puso de manifiesto en la resolución del expediente E/00993/2011, de 10 de febrero de 2012, al respecto del sitio web www.masquemedicos.com, con carácter general, ha de tenerse en cuenta, por una parte, la realidad de internet y, por otra, el hecho de que, en el presente caso, como en aquél, los datos son datos de contacto profesional de los afectados que, además, tienen su origen en fuentes de acceso público, por lo que debe limitarse la apertura de procedimiento sancionador por infracción, cuando existen fórmulas alternativas menos gravosas para la protección de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 los derechos de los afectados, como es el ejercicio del derecho de cancelación o el de oposición. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a HTTPLAB NETWORKS, S.L. y al CONSEJO GENERAL DE LOS PROCURADORES DE LOS TRIBUNALES DE ESPAÑA. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es