E-05562-2016

1/5 Expediente Nº: E/05562/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades ASPIRE IBERICA, S.L., y la CONFEDERACIÓN ORNITOLÓGICA ESPAÑOLA, en virtud de denuncias presentadas por denunciante 1 y denunciante 2, y teniendo como base los siguientes HECHOS PRIMERO: Con fechas 21 de septiembre de 2016 y 11/11/2016 se recibieron en esta Agencia, dos escritos remitidos por denunciante 1 y denunciante 2, en el que exponen los mismos hechos, concretados en lo siguiente: En su calidad de jueces pertenecientes a una Federación Ornitológica, han comprobado al acceder a la página de la Confederación Ornitológica: http//www.coe.org.es, al pinchar en el enlace de “JUECES”, te redirige a la siguiente dirección: http://www.aspire-iberica.com, no habiendo otorgado en ningún momento consentimiento para la cesión de sus datos a dicha empresa. Asimismo, manifiestan que la citada entidad no cuenta con fichero inscrito en el Registro General de Protección de Datos. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fecha 13 de diciembre de 2016, se recibe escrito del Presidente de la Confederación Ornitológica Española, poniendo de manifiesto que:  La Confederación es una Asociación sin ánimo de lucro, integrada por 13 Federaciones Regionales, integradas a su vez por Asociaciones de ámbito menor.  Tanto desde las Federaciones como desde la Confederación se organizan concursos de “belleza”, en los que unos jueces expertos valoran las aves concursantes. Dichos jueces adquieren la condición de tales tras diferentes pruebas realizadas por el Colegio de Jueces adscritos a las Federaciones miembros de la Confederación y se integran a su vez como Jueces de la Confederación.  Desde la Confederación, para dar servicio a sus Federaciones y a los miembros que las integran, tienen a disposición de las mismas el enlace de “solicitud de jueces”, que lleva a una página privada de acceso restringido. 2. Según consta en Diligencia adjunta a estas actuaciones el dominio aspireiberica.com pertenece a la entidad Aspire Ibérica, S.L., y está a nombre de A.A.A.. 3. Con fecha 4 de enero se recibe escrito de la entidad ASPIRE IBERICA, S.L., en el que pone de manifiesto que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5  De la relación existente entre la entidad y algunos miembros de la Confederación, se acordó la creación por parte de Aspire Ibérica, de una aplicación informática que facilitara la designación de jueces para concursos que organizara la Confederación y Federaciones miembros y Asociaciones integradas.  A tal efecto, con fecha 20 de junio de 2015, se suscribió un contrato de prestación de servicios entre el Presidente, por parte de la Confederación Ornitológica Española y el administrador de Aspire Ibérica, en el que ésta última figura como encargado del tratamiento de los datos de la Confederación, según el artículo 12 de la LOPD. Se adjunta copia del mismo.  Los usuarios de dicha página han de darse de alta como usuario, y ha de ser miembro integrante de alguna Federación o Asociación de la Confederación, debiendo aceptar una política de privacidad, por lo que se entiende que aceptan que sus datos sean tratados por Aspire Ibérica. No obstante, para la elección de Juez no es obligatorio hacerlo a través de la página.  Los datos de los Jueces a los que se tiene acceso desde la dirección www.aspire_iberica.com, son los publicados en la web de las Federaciones, por lo que se consideran de acceso público Los datos que se cumplimentan para darse de alta son los referidos a las Federaciones y el Presidente y Secretario de la misma, en la política de privacidad y condiciones de uso que ha de aceptar el usuario Aspire informa del artículo 5 de la LOPD. El responsable del fichero donde se almacenan los datos de las personas que acceden a la solicitud de juez es Aspire Ibérica, S.L. contando con un proveedor de servicios de alojamiento con la empresa. Se adjuntan facturas. 4. Según consta en Diligencia adjunta a estas actuaciones, Aspire Ibérica no cuentan con ningún fichero inscrito en el Registro General de Protección de Datos. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II Los denunciantes indican que han dado sus datos a la Federación Ornitológica a la que pertenecen, que a su vez está integrado en la Confederación Ornitológica Española. Pero que no han autorizado a que sus datos estén en una empresa privada, Aspire. El artículo 11. 1 y 2 de la LOPD, relativo a la cesión de datos, señala lo siguiente: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 2. El consentimiento exigido en el apartado anterior no será preciso:
2. a)Cuando la cesión está autorizada en una Ley.
3. b)Cuando se trate de datos recogidos de fuentes accesibles al público.
4. c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique.
5. d)Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco será preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas.
6. e)Cuando la cesión se produzca entre Administraciones Públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos.
7. f)Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica.” El artículo 12 de la LOPD “acceso a datos por cuenta de terceros”, establece lo siguiente: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto de tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”. El citado artículo 12.1 de la LOPD permite que el responsable del fichero habilite el acceso a datos de carácter personal por parte de la entidad que va a prestarle un servicio –encargado del tratamiento- sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión de datos. La LOPD exige que el acceso a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 datos por cuenta de terceros figure reflejado en un contrato por escrito o en alguna otra forma que permita acreditar su celebración y contenido, y prevé unos contenidos mínimos, tales como seguir las instrucciones del responsable del tratamiento, no utilizar los datos para un fin distinto, no comunicarlos a otras personas, estipular las medidas de seguridad del artículo 9 y, cumplida la prestación, destruir los datos o proceder a su devolución al responsable del tratamiento. En el presente caso, ha quedado constatado que existe formalizado un contrato entre la Confederación Ornitológica Española y la entidad Aspire Ibérica, S.L., de fecha 20 de junio de 2015, en cuyas Estipulaciones se recogen las exigencias establecidas por la normativa de protección de datos para el tipo de datos que van a ser objeto de tratamiento: medidas de seguridad, integridad de la información, confidencialidad…, u cuyo objeto es la gestión de las bases de datos personales de las Federaciones, Asociaciones y Socios. En el supuesto denunciado, Aspire Ibérica, S.L., tiene habilitación legal para el tratamiento de los datos de los jueces que pertenecen a Federaciones o Asociaciones Ornitológicas; es con esa finalidad con la que se realiza el tratamiento de los datos de los denunciantes. El fichero continúa siendo responsabilidad de la Confederación Ornitológica Española, a quien lo devolverán cuando finalice la prestación del servicio contratado, y que es el responsable de su inscripción. En consecuencia, no se ha producido vulneración de la normativa de protección de datos en relación con el tratamiento de los datos de los denunciantes por parte de Aspire Ibérica, S.L., en nombre y por cuenta de la Confederación Ornitológica Española. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a ASPIRE IBERICA, S.L., a la CONFEDERACION ORNITOLOGICA ESPAÑOLA y a los dos denunciantes referenciados en los Anexos 1 y 2. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo ContenciosoC/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es