E-04304-2016

1/5 Expediente Nº: E/04304/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad AMERICAN SCHOOL OF BILBAO, en virtud de denuncia presentada por Don C.C.C., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 12 de julio de 2016, tuvo entrada en esta Agencia un escrito remitido por Don C.C.C., en el que denuncia al AMERICAN SCHOOL OF BILBAO por los siguientes hechos: Utilizar los datos personales de su hija, B.B.B., para la inscripción, con fecha 20 de marzo de 2016 a la Conferencia DECA, para la participación en una actividad celebrada en Estados Unidos, en la cual no participó, y que fueron utilizados por otra alumna ( A.A.A.). Y, entre otra, anexa la siguiente documentación:  Copia del Correo electrónico remitido por el DECA a los padres de la alumna, con relación a la inscripción de la menor, con el que adjunta un documento en el que aparece su nombre.  Copia de un certificado de asistencia al colegio en las fechas en las que tuvo lugar la Conferencia. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:

1. Con fecha 30 de noviembre de 2016, se recibió escrito del Presidente de la Junta Directiva del American School Of Bilbao, en el que pone de manifiesto lo siguiente: 1.
2. El Colegio Americano de Bilbao es una asociación sin ánimo de lucro fundada hace cincuenta años. 1.
3. La Organización DECA es una asociación internacional de colegios de enseñanza secundaria, estudiantes universitarios y profesores de marketing, administración y emprendimiento de negocios. Una de sus principales actividades es la organización de una Conferencia anual, a la que acuden unas 20.000 personas entre estudiantes participantes, acompañantes, profesores, etc. y en la que participa el Colegio Americano de Bilbao. 1.
4. La edad mínima para participar es de 14 años. No obstante, cualquier persona o alumno, con independencia de su edad, puede asistir en calidad de acompañante a las conferencia DECA. 1.
5. A tal efecto se creó en el Colegio Americano de Bilbao el CLUB DECA, al cual pertenecía B.B.B., con pleno conocimiento y consentimiento de sus padres. Se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 acompaña listado existente en internet donde aparecen el nombre y apellido de los componentes de dicho Club, en el que figura el de la menor. 1.
6. El documento remitido con el escrito de denuncia es una preinscripción en un programa inicial, que se remitió provisionalmente con la identidad de los alumnos del Club DECA, que supuestamente estaban interesados en acudir a la conferencia. Dicha preinscripción sólo incluye el nombre y un apellido de la menor 1.
7. No se envió ningún documento o dato adicional alguno. Dicha preinscripción carece de efecto si no se realiza la inscripción definitiva y se cumplimentan todos los requisitos necesarios para el viaje y asistencia del alumno menor de edad... Se adjunta el documento de solicitud de inscripción realizado desde el Colegio, en el que no aparece el nombre de la menor. 1.
8. El correo electrónico remitido a los padres por el DECA (que se adjunta) dice que únicamente cuentan con el impreso de pre-registro. No les constan cambios durante el proceso, lo que no significa que el estudiante estuviera o no presente en la conferencia, ni que alguien hubiera usado su nombre en la misma, dado que no todos los cambios se registran oficialmente en los archivos de su oficina principal. 1.
9. Los ocho alumnos que asistieron a la Conferencia, son los que figuran en el listado, que adjunta como documento número 2, en el que no aparece el nombre de la menor ni tampoco el de la menor que presuntamente la habría suplantado. 1.
10. La menor no fue inscrita, no asistió y no participó en la conferencia DECA 2016, ni personalmente ni suplantada por un tercero. Todos los alumnos que asistieron lo hicieron bajo su identidad y previo cumplimiento de todos los requisitos legales y administrativos exigidos por las autoridades correspondientes estadounidenses y españolas. Se adjunta la siguiente documentación: o copia de las autorizaciones de viaje emitidas por las autoridades americanas, donde figura el nombre de la menor que figura en la denuncia como suplantadora de la identidad de B.B.B., pero no de ésta. o Resumen de los vuelos, donde no aparece el nombre de la menor presuntamente suplantada pero si el de la presunta suplantadora. o Copia de la Póliza de seguro de viaje donde solo aparece el nombre de la presunta suplantadora. 1.10.El Certificado que acompaña al escrito de denuncia es un certificado de asistencia al Colegio de Bilbao. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 II El artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” La LOPD no requiere, que el consentimiento se preste por escrito o con formalidades determinadas, pero sí exige que el consentimiento de los afectados sea “inequívoco”. Es por ello que el tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, entre otros supuestos, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. III Por otra parte, la LOPD regula en su artículo 4 el principio de calidad de datos que resulta aplicable al supuesto de hecho que se analiza. Este artículo debe interpretarse de forma conjunta y sistemática. El artículo 4.2 de la LOPD, señala lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 “
11. Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos”. El “principio de calidad”, que prohíbe utilizar datos de carácter personal para una finalidad incompatible o distinta de aquella para la que los mismos fueron recabados, se recoge en el Título II de la LOPD, como uno de los principios básicos de la protección de datos. Las “finalidades” a las que se refiere el transcrito apartado 2, están ligadas con el “principio de pertinencia” o limitación en la recogida de datos regulado en el artículo 4.1 de la misma Ley. Conforme a dicho precepto, los datos sólo podrán tratarse cuando “sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” La LOPD contempla en su Título II (artículos 4 a 12) una serie de principios generales, entre los que destacan los del consentimiento y de calidad de datos, que constituyen el contenido esencial de este derecho fundamental y configuran un sistema que garantiza una utilización racional de los datos personales, que permite el equilibrio entre los avances de la sociedad de la información y el respeto a la libertad de los ciudadanos. En el caso concreto que nos ocupa, el denunciante señala que el Colegio al que acude su hija B.B.B. (en concreto una profesora) habría utilizado los datos de la menor sin consentimiento para inscribirla en una competición a la que acudió otra alumna en su lugar. Tras las actuaciones previas de investigación se ha constatado que ni su hija ni la supuesta suplantadora acudieron a la competición del Club Deca. El Colegio envió a los padres la preinscripción de los alumnos que forman parte del Club Deca y que podían estar interesados en acudir a la competición. En este procedimiento no se ha acreditado que el denunciado haya utilizado los datos de la menor con finalidades distintas a las relacionadas con el Colegio al que acude. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución al AMERICAN SCHOOL OF BILBAO, y a Don C.C.C.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es