1/5 Expediente Nº: E/04100/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades ENQUISA, S.L., e INSTITUTO GALEGO DE ESTADISTICA, en virtud de denuncia presentada por Don A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 7 de junio de 2016, tuvo entrada en esta Agencia un escrito remitido por Don A.A.A., en el que denuncia a ENQUISA, S.L., y al INSTITUTO GALEGO DE ESTADISTICA (IGE), por los siguientes hechos, según manifestaciones del denunciante: Que ha recibido del IGE, adscrito a la Consellería de Economía y Hacienda de la Xunta de Galicia, notificación por la que amparándose en la normativa en materia estadística, Ley 9/1988, de 19 de julio, de Estadística de Galicia, le exigen respuesta a una serie de preguntas relacionadas con las condiciones de vida de las familias gallegas en relación con diversas variables de interés y que se concreta en una encuesta estructural a hogares. Que de no contestar voluntariamente a la encuesta, por medio de internet, entre el 30 de mayo y el 5 de junio, acudirá un entrevistador debidamente acreditado de la empresa ENQUISA, S.L., empresa que resultó adjudicataria de la asistencia técnica para la recogida de información en el concurso público. Que el IGE está conculcando la legalidad vigente en materia de protección de datos por estar acudiendo a entidades privadas y vulneran la intimidad al exigirse datos personales íntimos Que según el denunciante tuvieron lugar los hechos en: mayo-junio 2016 Con el escrito de denuncia se adjunta la siguiente documentación: Carta del IGE dirigida al denunciante, de fecha mayo de 2016, en la que le informan de la Encuesta Estructural a Hogares (EEF), incluida en la Ley del Plan Gallego de Estadística. De la forma de cumplimentarla a través de <http://enquisas.ige.eu> o esperar recibir la visita de un entrevistador de ENQUISA, S.L. y le facilitan los códigos de usuario y contraseña. En dicha carta le informan de la obligatoriedad de colaboración ciudadana según establece la Ley 9/1988 y de que todos los datos proporcionados son estrictamente confidenciales y están protegidos por el secreto estadístico. INSTITUTO GALEGO DE ESTATISCA: ENQUISA ESTRUTURAL A FOGARES: Módulos de mobilidade e viviendas familiares: características e medio
- SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: El IGE es un organismo autónomo administrativo creado por Ley 9/1988, de estadística de Galicia, cuya actividad está regulada por los planes gallegos de estadística (PGE) y, en concreto, el artículo 13 regula la ejecución de los programas anuales, habilitando expresamente a desarrollar las actividades en colaboración con otras entidades privadas mediante la formulación de contratos. El PGE 2012-2016 fue aprobado por Ley 8/2011 y los cuestionarios de la EEF han sido informados favorablemente por la AEPD, con fecha de 23 de mayo de 2016, referencia 151698/
- En la primera página de la Parte general de la encuesta se informa del carácter obligatorio y del secreto estadístico en los siguientes términos: El artículo 18 de la Ley 8/2011, regula la colaboración ciudadana en los siguientes términos: “las estadísticas incluidas en el Plan gallego de estadísticas y en los programas anuales tendrán, para su elaboración, la obligatoriedad de colaboración ciudadana”. Los artículos 24 -28 de la Ley 8/2011, establecen “serán objeto de protección y quedarán amparados por el secreto estadístico tanto los datos relativos a las personas físicas como a las personas jurídicas (…).” El IGE convocó concurso público que fue adjudicado a la empresa ENQUISA, S.L., con objeto de prestar servicios de recogida de información, grabación, codificación y depuración, así como la realización de un informe sobre el cuestionario mediante encuestas a hogares, en sus ediciones de los años 2016 y
- También, estos trabajos incluyen la preparación, desarrollo y mantenimiento de la plataforma informática necesaria para el desarrollo del contrato. El contrato fue suscrito entre ambas entidades el 5 de abril de
- El tamaño de la muestra en el año 2016 fue de 9216 entrevistas en las que se recoge información de 9216 hogares privados que residen en viviendas familiares y 23.338 personas que los componen. La encuesta se realiza en los meses de mayo, junio y julio de
- La compañía ENQUISA actúa como encargado del tratamiento en los términos especificados en el artículo 12 de la Ley Orgánica 15/1999 y en el Pliego de Prescripciones Técnicas (PPT), apartado 2.2.
- Seguridad e autenticación se detallan los siguientes aspectos que deberá cumplir la empresa adjudicataria: Implantara las medidas técnicas y organizativas necesarias para salvaguarda los datos de carácter personal según establece la legislación vigente en materia de Protección de Datos Personales y sus reglamentos. Aplicará las medidas de backups (…). Todas las transmisiones deben utilizar datos cifrados (…). La autenticación de los entrevistadores y los terminales se realizara mediante certificado electrónico X509v3 (…). Cuando el contrato expire los datos serán destruidos en todos los soportes (bases de datos, backups, papel, etc.) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 También en el PPT se especifica que la empresa adjudicataria, así como el personal que participe en estos trabajos, deberá comprometerse formalmente por escrito a salvaguardar el secreto estadístico según el documento que será entregado al inicio de la relación contractual, se adjuntan tres documentos firmados por trabajadores al respecto. En la oferta técnica presentada por ENQUISA, S.L., en el concurso público, apartado 7.
- Seguridad y confidencialidad de datos informan de aspectos relativos a las medidas de seguridad que tiene implantadas la compañía en cumplimiento del Real Decreto 1720/2007 y que el fichero en el cual se almacenarían los datos de carácter personal relativos al proyecto tienen un nivel de seguridad ALTO. También, aportan Documento de Seguridad para el tratamiento de datos de carácter personal de ENQUISA, S.L. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). El artículo 126.1, apartado segundo, del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal establece: Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso. II El denunciante expone que, a su criterio, el IGE está conculcando la legalidad vigente en materia de protección de datos, por cuanto acude a entidades privadas para realizar la actividad de recabar, de forma obligatoria, de los ciudadanos datos personales y de sus familiares, actividad que le corresponde única y exclusivamente a su personal público. El artículo 12 de la LOPD “acceso a datos por cuenta de terceros”, establece lo siguiente: “
- No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento.
- La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar.
- Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto de tratamiento.
- En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”. El citado artículo 12.1 de la LOPD permite que el responsable del fichero habilite el acceso a datos de carácter personal por parte de la entidad que va a prestarle un servicio –encargado del tratamiento- sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión de datos. La LOPD exige que el acceso a datos por cuenta de terceros figure reflejado en un contrato por escrito o en alguna otra forma que permita acreditar su celebración y contenido, y prevé unos contenidos mínimos, tales como seguir las instrucciones del responsable del tratamiento, no utilizar los datos para un fin distinto, no comunicarlos a otras personas, estipular las medidas de seguridad del artículo 9 y, cumplida la prestación, destruir los datos o proceder a su devolución al responsable del tratamiento. En el presente caso, ha quedado constatado que el IGE convocó un concurso público para contratar la prestación del servicios de recogida de información, grabación, codificación y depuración, así como la realización de un informe sobre el cuestionario mediante encuestas a hogares, en sus ediciones de los años 2016 y
- También, incluye el contrato la preparación, desarrollo y mantenimiento de la plataforma informática necesaria para el desarrollo del contrato. El contrato fue suscrito entre el IGE y ENQUISA el 5 de abril de
- La entidad ENQUISA actúa como encargado del tratamiento en los términos especificados en el artículo 12 de la Ley Orgánica 15/1999 y en el Pliego de Prescripciones Técnicas (PPT), implantando todas las medidas de seguridad reseñada en los Antecedentes de esta Resolución. En el Pliego de Prescripciones Técnicas se especifica que la empresa adjudicataria, así como el personal que participe en estos trabajos, deberá comprometerse formalmente por escrito a salvaguardar el secreto estadístico según el documento que será entregado al inicio de la relación contractual. En consecuencia, no se ha producido vulneración de la normativa de protección de datos en relación con el tratamiento de los datos por parte de ENQUISA, en nombre y por cuenta del IGE. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a ENQUISA, S.L., al INSTITUTO GALEGO DE ESTADISTICA, y a Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es