E-05054-2016

1/4 Expediente Nº: E/05054/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad JPA INFORMATICA, S.L., en virtud de denuncia presentada por Doña B.B.B., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 17 de junio de 2016, tuvo entrada en esta Agencia un escrito remitido por Doña B.B.B., en el que denuncia los siguientes hechos: Que contrató con la empresa JOAQUIN DE PRADA Y ASOCIADOS, S.L., (en la actualidad JPA INFORMATICA, S.L.) servicios de tratamiento de los ficheros notariales, que tienen la consideración de ficheros de las Administraciones Públicas, según la ORDEN JUS/484/2003, de 19 de febrero, por la que se regulan los ficheros automatizados de carácter personal del Cuerpo de Notarios. La notaria denunciante comunicó a JPA INFORMATICA, S.L., el día 23 de diciembre de 2015, la extinción del contrato y solicitaba que le fueran reintegrados los ficheros públicos, de acuerdo con lo dispuesto en el artículo 22 del reglamento RLOPD, de cuyo tratamiento se había encargado. Le indicaron que previamente tenía que abonar 900€. Que la mercantil JPA INFORMATICA, S.L., al no devolver a la notaria denunciante los ficheros tal y como dispone el artículo 37 de los LOPD, la AEPD debe intervenir a fin de adoptar las medidas cautelares oportunas. Que según la denunciante los hechos tuvieron lugar: en el periodo comprendido entre el 23 de diciembre de 2015 y el 4 de abril de

1. Se adjunta con los escritos de denuncia la siguiente documentación:  Contrato de mantenimiento suscrito entre JPA INFORMATICA, S.L., y la denunciante, de fecha 1 de febrero de 2004, como usuaria de un conjunto de programas de contabilidad, facturación, índices, corredores y tramitación de documentos.  Acompaña Contrato de acceso a datos por terceras personas, sin fecha, de acuerdo con el artículo 12 de la Ley Orgánica 15/1999 y el Real Decreto 994/1999 y, en concreto, cláusula IV una vez cumplida la relación contractual JPA INFORMATICA, S.L. deberá devolver los datos de carácter personal que trate (…).  Escrito remitido, por correo electrónico, desde la dirección < A.A.A.> a <comercial@....>, el día 23 de diciembre de 2015, en el que comunican lo siguiente “Ratificando nuestro correo de ayer, por la presente, ponemos en su conocimiento que debido a los múltiples y grandes cambios en el Notariado, a partir del 1 de enero de 2016, no renovaremos el contrato de los programas NotaWord y NotaPlus-e”.  Presupuesto nº 00005/16 Mantenimiento anual reducido programa emitido por la empresa JPA INFORMATICA, S.L., dirigido a la denunciante, de fecha 4 de abril de 2016, por los servicios siguientes: resolución posibles problemas con su base de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 datos, atención y asesoramiento en programas, resolución inmediata de incidencias, visitas necesarias y asistencia online. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Los servicios que presta la empresa JPA son informáticos en el ámbito de notarías; tales como instalación y mantenimiento de programas así como de equipos, facilitando soluciones informáticas que permitan a los clientes proceder a la elaboración y gestión de los documentos notariales, así como facturación a sus clientes. En el caso de la denunciante según consta en el contrato, de fecha 1 de febrero de 2004, y en las facturas emitidas, únicamente se prestaban servicios relativos al mantenimiento de programas informáticos. En el marco de los servicios que presta JPA INFORMATICA, S.L., en ningún momento tiene datos personales de la Notaría; son titularidad del notario y se hallan alojados en el ordenador central propiedad de la Notaría. Los datos jamás han sido sacados ni copiados a ningún ordenador ubicado fuera de la Notaría y por supuesto no están ubicados en equipos de la compañía. La denunciante desistió unilateralmente del contrato de mantenimiento, el día 3 de diciembre de 2015, por lo que en dicha fecha JPA INFORMATICA, S.L., cesa de dar soporte a la Notaría, al no disponer de datos de la Notaría no cabe devolver ningún dato a la finalización del contrato ni la destrucción de los mismos. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). El artículo 126.1, apartado segundo, del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal establece: Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso. II La Sra. B.B.B. denuncia que ha tenido un contrato de prestación de servicios con la entidad JPA Informática, S.L., que ella ha resuelto y dicha sociedad no quiere devolverle los datos personales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 El artículo 12 de la LOPD “acceso a datos por cuenta de terceros”, establece lo siguiente: “
2. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento.
3. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar.
4. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto de tratamiento.
5. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”. El citado artículo 12.1 de la LOPD permite que el responsable del fichero habilite el acceso a datos de carácter personal por parte de la entidad que va a prestarle un servicio –encargado del tratamiento- sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión de datos. La LOPD exige que el acceso a datos por cuenta de terceros figure reflejado en un contrato por escrito o en alguna otra forma que permita acreditar su celebración y contenido, y prevé unos contenidos mínimos, tales como seguir las instrucciones del responsable del tratamiento, no utilizar los datos para un fin distinto, no comunicarlos a otras personas, estipular las medidas de seguridad del artículo 9 y, cumplida la prestación, destruir los datos o proceder a su devolución al responsable del tratamiento. En el presente caso, ha quedado constatado que existe formalizado un contrato de mantenimiento de servicios informáticos entre JPA y la denunciante. En el marco de ese contrato, JPA podría acceder a datos personales de la Notaría, por lo que se firma un contrato concreto por ello. Pero no implica el tratamiento de datos fuera de los ordenadores de la Notaría; por lo que nunca han tenido datos personales. En consecuencia, no se ha producido vulneración de la normativa de protección de datos en relación con el tratamiento de los datos de la Notaría denunciante por parte de JPA Informática, S.L., ya que nunca han generado un fichero en su nombre cuyos datos hayan de devolver finalizado el contrato de mantenimiento de programas informáticos. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a JPA INFORMATICA, S.L. y a Doña B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es