E-05495-2014

1/7 Expediente Nº: E/05495/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el Colegio Profesional de Ingenieros Técnicos en Informática de Andalucía, en virtud de denuncia presentada por tres denunciantes, y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 10 y 11 de julio de 2014, se recibieron en la Agencia Española de Protección de Datos escritos de los denunciantes 1, 2 y 3 relacionados en los Anexos a este Acuerdo, en los que manifiestan que el 09/01/2014, el Colegio Profesional de Ingenieros Técnicos en Informática de Andalucía (en lo sucesivo CPITIA) publicó en su sitio web www.cpitia.org una noticia que incluía un enlace a un documento con la convocatoria de Junta del Consejo General de Colegios de Ingeniería Técnica en Informática. El documento contiene, entre otros, los datos de carácter personal de los convocados como, por ejemplo, el correo electrónico. Junto con los escritos de denuncia, aportaron captura de pantalla de la noticia, documento con la convocatoria e información sobre el titular del dominio cpitia.org. El 19/08/2014, tuvo entrada en esta Agencia un segundo escrito del denunciante 1 en el que manifiesta que el 28/11/2013 fue publicado en su sitio web www.cpitia.org el contenido de un correo electrónico con un comunicado elaborado por él mismo, a pesar de que en el pie de dicho correo electrónico se indicaba que el contenido del mismo tenía carácter confidencial e iba dirigido únicamente al destinatario. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se realizaron las siguientes actuaciones: 1. La página de aviso legal del sitio web www.cpitia.org informa que el responsable del sitio web es la entidad CPITIA. 2. Con fecha 05/12/2014 se accedió a la URL A.A.A. y se comprobó que en la página web se encuentra el enlace al documento objeto de denuncia, B.B.B., una convocatoria de reunión de la junta de gobierno de Consejo General de Colegios Oficiales de Ingeniería Técnica en Informática (en lo sucesivo CONCITI). La convocatoria contiene una lista de personas convocadas e invitadas y para cada una de ellas consta su nombre, apellidos, cargo y dirección de correo electrónico. Los tres denunciantes figuran entre los convocados como C.C.C. de la entidad CONCITI. 3. El acceso al documento citado en el punto anterior no está limitado de ninguna C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 forma, por lo que cualquier navegante puede acceder al mismo, independientemente de que éste pertenezca o no al CPITIA o al CONCITI. 4. En relación con la publicación del citado documento, que contiene los datos de los denunciantes, los representantes del CPITIA manifestaron lo siguiente: 4.1. El documento pertenece al CONCITI, entidad que integra a todos los colegios de ingenieros técnicos en informática de España. 4.2. Los datos que aparecen en dicho documento corresponden al orden del día a tratar en la reunión del órgano de gobierno convocada por el CONCITI y a la información corporativa de contacto de los cargos que integran dicho órgano, siendo dichos datos públicos por tratarse de los datos de contacto de cargos en ejercicio en una entidad de derecho público. 4.3. De los datos publicados, entienden que podría considerarse excesivo para la finalidad del documento el relativo al correo electrónico, y así lo han manifestado a la entidad CONCITI en anteriores ocasiones, pero ésta quien decide la información que incluye en sus documentos. 4.4. Entienden que, dada la naturaleza de los datos publicados, es de aplicación lo dispuesto en el artículo 2.2 del RD 1720/2007 que dice “Este reglamento no será aplicable a los tratamientos de datos referidos a personas jurídicas, ni a los ficheros que se limiten a incorporar los datos de las personas físicas que presten sus servicios en aquéllas, consistentes únicamente en su nombre y apellidos, las funciones o puestos desempeñados, así como la dirección postal o electrónica, teléfono y número de fax profesionales.” 4.5. La propia CONCITI, con el fin de reforzar el carácter público de las convocatorias, publica las mismas en la URL D.D.D.. 4.6. Entienden que la denuncia forma parte de una acción de mala fe en el contexto de los litigios que el CPITIA tiene interpuestos al CONCITI. 5. El 03/02/2015 se accede a la URL D.D.D. en la que se comprueba que se encuentra publicada parcialmente la convocatoria. En la información publicada constan, además del orden del día, los nombres y apellidos de los convocados e invitados, pero no sus cargos ni sus direcciones de correo electrónico. 6. Consultados los estatutos del CONCITI (http://www.conciti.org/estatutos), se observa que los artículos 8 y 16 regulan las reuniones y convocatorias de la entidad, pero lo estatutariamente dispuesto hace referencia a plazos, medios de comunicación y quórums, sin que se haya localizado referencia alguna a la información que deberá ser incluida en las convocatorias. 7. Con fecha 03/02/2015, se constata que en el sitio web del CPITIA ya no se encuentra publicada la noticia que contenía el enlace a la convocatoria del CONCITI. A pesar de ello, el documento con la convocatoria sigue siendo accesible en la URL B.B.B.. 7.1. Entienden que, dada la naturaleza de los datos publicados, es de aplicación lo dispuesto en el artículo 2.2 del RD 1720/2007 que dice “Este reglamento no será aplicable a los tratamientos de datos referidos a personas jurídicas, ni a los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 ficheros que se limiten a incorporar los datos de las personas físicas que presten sus servicios en aquéllas, consistentes únicamente en su nombre y apellidos, las funciones o puestos desempeñados, así como la dirección postal o electrónica, teléfono y número de fax profesionales.” 7.2. La propia CONCITI, con el fin de reforzar el carácter público de las convocatorias, publica las mismas en la URL D.D.D.. 7.3. Entienden que la denuncia forma parte de una acción de mala fe en el contexto de los litigios que el CPITIA le tiene interpuestos al CONCITI. 8. El 3 de febrero de 2015 se accede a la URL D.D.D. en la que se comprueba que se encuentra publicada parcialmente la convocatoria. En la información publicada constan, además del orden del día, los nombres y apellidos de los convocados e invitados, pero no sus cargos ni sus direcciones de correo electrónico. 9. Consultados los estatutos del CONCITI1, se observa que los artículos 8 y 16 regulan las reuniones y convocatorias de la entidad pero lo estatutariamente dispuesto hace referencia a plazos, medios de comunicación y quórums, sin que se haya localizado referencia alguna a la información que deberá ser incluida en las convocatorias. 10. A fecha del presente informe se constata que en el sitio web del CPITIA ya no se encuentra publicada la noticia que contenía el enlace a la convocatoria del CONCITI. A pesar de ello, el documento con la convocatoria sigue siendo accesible en la URL B.B.B.. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La LOPD bajo la rúbrica “Consentimiento del afectado” consagra en su artículo 6 el principio del consentimiento en el tratamiento de los datos de carácter personal y establece: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. (…) 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos.” Este precepto debe integrarse con la definición legal de “datos de carácter personal”, “tratamiento de datos” y “consentimiento del interesado”, que ofrecen, respectivamente, los artículos 3 a), 3 c), y 3
2. h)de la Ley Orgánica 15/1999: “cualquier información concerniente a personas físicas identificadas o identificables”; “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, 1 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. El principio del consentimiento recogido en el artículo 6.1 de la LOPD es la piedra angular en la construcción del derecho fundamental a la protección de datos de carácter personal y alude a la necesidad de contar con el consentimiento inequívoco e informado del afectado para que el tratamiento de sus datos sea ajustado a Derecho. Conforme al citado precepto el tratamiento de datos sin consentimiento, o sin otra habilitación amparada en la Ley, constituye una vulneración de este derecho fundamental pues sólo el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento. El Tribunal Constitucional, en su Sentencia 292/2000, de 30/11/2000 (Fundamento Jurídico 7), se refiere al contenido esencial del derecho a la protección de datos de carácter personal e indica que “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…)” En el presente supuesto hemos de tener en consideración distintos factores. En primer lugar debe ponerse de manifiesto que los denunciantes ostentan la Presidencia, Vicepresidencia y Secretaria del CONCITI y que, a partir de dicha circunstancia, son conocedores de que sus puestos, de carácter representativo, cuentan con una especial relevancia dentro del Consejo y de los Colegios autonómicos que se integran, lo que supone que al acceder a ostentar el citado cargo, llevó a cabo una dilución voluntaria de la privacidad en el ejercicio de sus funciones. Así, la exposición de información vinculada con el ejercicio de dichas funciones y de las actuaciones derivadas de su condición de C.C.C. del CONCITI han de ser consideradas de interés para los Colegios y colegiados a los que representan. Por otro lado, la información ha sido publicada, sin ninguna restricción, por el CONCITI previamente; por lo que el hecho de que se incluya esa misma información por el CPITIA, en el marco de una controversia entre el Consejo y el Colegio, no es merecedora de la consideración de infractora de la LOPD, ya que esos datos eran conocidos con anterioridad, y están vinculados a datos referidos al puesto de trabajo que ocupan. No sería contraria a la LOPD la publicación en abierto de los datos de representantes de Colegios Profesionales y del Consejo, para aclarar la situación en que se encuentra el CPITIA, dado, en primer lugar, que, como se ha señalado, se refiere a actuaciones de los denunciante llevadas a cabo en ejercicio de sus funciones como C.C.C. del CONCITI, y que gozan de especial trascendencia pública y, por otro, porque, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 de acuerdo a lo publicado, lo actuado se refiere a una controversia que ha trascendido en el entorno del CPITIA, encontrándonos ante una actuación que trata de expresar el punto de vista de dicho Colegio sobre los hechos controvertidos. Hemos de tener en cuenta la jurisprudencia de la Audiencia Nacional que, en sentencias como la dictada el 11 de abril de 2012, nos dice “El recurrente ejercía, a juicio de este Tribunal, su derecho a informar sobre una actividad que consideraba ilícita cometida por funcionarios públicos. La información proporcionada era veraz (o al menos no podía considerarse gratuita o notoriamente infundada), estaba documentada y tenía interés general y relevancia pública, afectando a personas que en su condición de funcionarios públicos y con cargos importantes en la Universidad tiene una clara proyección pública atendiendo al puesto que ocupaban y al servicio que prestaban. El ejercicio de la libertad de expresión y de información que amparaba al recurrente implica el tratamiento de los datos personales de los sujetos objeto de la crítica y de la información, pues la utilización de sus datos personales, de forma proporcional y justificada por el fin que se persigue y la libertad que se ejerce, se constituye un instrumento imprescindible sin el cual la crítica o la información carecería de sentido y se vaciaría de contenido. Por otra parte, tanto sus nombres, cargos e imágenes eran de conocimiento público al haber sido obtenidas de las páginas web oficiales de la propia Universidad y los videos aparecen referidos a una actuación judicial pública que se encontraba colgada en youtube con la que estableció un vínculo, por lo que tampoco puede sostenerse que los datos proporcionados estuviesen fuera del alcance público desvelándose datos personales que desvinculados de la información no se conociesen anteriormente. Es por ello que la utilización de los datos de los denunciantes, estaba amparada por el ejercicio de la libertad de expresión e información del recurrente y la falta de consentimiento de los afectados está justificada de conformidad con lo dispuesto en el artículo 6.2 de la LOPD, sin que por ello puede entenderse que su conducta constituya infracción administrativa alguna en materia de protección de datos.” (el subrayado es de la AEPD) En el mismo sentido la sentencia del Tribunal Constitucional 136/1994, de 9 de mayo, que establece lo siguiente: " Pues bien, aplicando toda dicha doctrina al supuesto analizado y puesto que la noticia, difundida en dos diarios de la provincia de Burgos, sobre las cantidades cobradas por un recaudador del Ayuntamiento de Burgos, en un periodo de cinco años ( 1995-1999), tiene una indudable trascendencia pública y social, noticia publicada sin la intención de desacreditar al recurrente, sino únicamente en el ejercicio legítimo de informar a los contribuyentes de dicha localidad de los "premios de cobranza" percibidos por quien ejerció como recaudador municipal, información de innegable interés para el ciudadano, consideramos que también en el presente caso ha de prevalecer tal derecho a la libertad de información sobre el derecho a la protección de datos del aquí denunciante, y por tanto que la resolución combatida ha de ser confirmada” (el subrayado es de la AEPD) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 Vinculado a lo anterior, debemos tener en cuenta lo señalado a su vez por el Tribunal Supremo, en torno al el tratamiento y revelación de datos en el seno de una controversia pública. Así, el Tribunal Supremo, en sentencia de 22 de junio de 2009, disponía lo siguiente: “En este sentido, constituyen hechos probados y no negados por las partes la existencia de unas manifestaciones previas realizadas por el Sr. Teodosio , en respuesta a un comentario de un radio-oyente que entró por teléfono en el Programa "SER DEPORTIVOS", transmitiendo la opinión que le habían dado en el País Vasco, con ocasión de un encuentro futbolístico del Jerez Club Deportivo, acerca del edil jerezano, así como que el Sr. Teodosio ostentaba un carácter público por su condición de Presidente de la Federación de Peñas Xerecistas, y que en los meses previos se habían producido una serie de enfrentamientos entre ésta y el Consistorio. Son precisamente dichas circunstancias las que evidencian que existía una situación de confrontación entre ambas partes que determina que las palabras empleadas por el Sr. Lucio que, aisladamente consideradas, podrían considerarse vulneradoras del derecho al honor del Sr. Teodosio y en modo alguno amparadas por su libertad de expresión, en la medida en que con las mismas se imputaba al Sr. Teodosio una relación con una banda terrorista que cuenta con un alto grado de repulsa social por sus violentas actuaciones contra la vida y la libertad de las personas, deban considerarse, sin embargo, amparadas por la libertad de expresión en función del contexto en el que se emitieron, referido anteriormente, y de que fueron precedidas por las manifestaciones realizadas por el Sr. Teodosio en periodo pre-electoral con el fin de caldear el ambiente, y todo ello aun cuando, como sostiene el recurrido, resultaba posible distinguir al Sr. Teodosio por otras cualidades o condiciones como, por ejemplo, la Federación que presidía.” (el subrayado es de la AEPD) Por tanto, en conclusión, lo actuado por el CPITIA, difundiendo los datos de representantes del CONCITI y no contener datos sensibles que necesiten de especial protección, sino sólo sus nombres, cargos y correos vinculados al Consejo o Colegio al que representan, no supondrían infracción de la LOPD. Hemos de tener en cuenta que la potestad administrativa conferida a este órgano administrativo cuenta con una dimensión que no se concreta únicamente en la actividad sancionadora, sino también reparadora, proyectándose indefectiblemente en la protección del bien jurídico objeto de tutela. Tampoco existe acreditación del tiempo de exposición de datos, es decir, no consta el tiempo de exposición de sus datos, de ahí que no pueda determinarse el alcance la exposición llevada a cabo. Así, en la medida en que su derecho se ha restablecido, ya que se han quitado los datos de la web del CPITIA, serían de aplicación los principios de intervención mínima y proporcionalidad que informan la actividad administrativa, dada la actual situación de sus datos en la web, y en la medida en que no se ha determinado el tiempo de exposición de los datos, por lo que no procedería la activación de un procedimiento sancionador en materia de protección de datos en dicho punto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a Colegio Profesional de Ingenieros Técnicos en Informática de Andalucía con los tres Anexos; y la Resolución y el Anexo correspondiente a cada uno de los denunciantes. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es