E-05822-2013

1/5 Expediente Nº: E/05822/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad HOTELMA, S.A., en virtud de denuncia presentada por Doña A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha Con fecha 3 de julio de 2013, tuvo entrada en esta Agencia un escrito remitido por Doña A.A.A., en el que denuncia que con esa fecha ha recibido en su cuenta de correo electrónico un e-mail cuyo remitente es B.B.B., para una convocatoria a una reunión de los padres del Colegio público La Encina, en Las Rozas (Madrid). En dicho correo aparece una lista de distribución con las direcciones de correo del resto de los padres totalmente visibles. Asimismo, manifiesta que ella solo dio esa dirección de correo al Colegio para temas escolares y a la empresa Gestora del servicio de “Primeros del Cole”, HOTELMA. Con fecha 17 de octubre de 2013, la denunciante remite copia de los correos recibidos desde la dirección arriba especificada. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fecha 18 de abril de 2014, se recibe en esta Agencia escrito de D. B.B.B., con relación a los hechos denunciados, en el que pone de manifiesto que: 1.1. La relación de direcciones de correo electrónico se la proporcionó D. C.C.C., padre de un niño matriculado en el Colegio público La Encina, al cual también acuden sus hijas; manifiesta que esa información la recibió de la empresa HOTELMA por correo electrónico, quien presta servicios de restauración en el citado colegio. 1.2. La finalidad del envío de dicho correo, dado su interés legítimo como padre, era trasladar al resto de padres afectados por dicha contrata, la posibilidad de debatir sobre la permanencia o no de HOTELMA en la prestación del servicio, y celebrar una reunión con este fin. 1.3. Adjunta acreditación de los correos con el listado de dirección enviado por Hotelma al Sr. C.C.C., y de éste al Sr. B.B.B.. 2. Con fecha 6 de mayo de 2014, se recibe en esta Agencia escrito de la empresa HOTELMA, S.A., en el que pone de manifiesto que: 2.1. La empresa Hotelma, S.A. gestionaba el servicio de “los primeros del cole” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 en el C.P. XXXXXXXXX, durante el curso 2012-2013. 2.2. En junio de 2013, el AMPA tuvo intención de cambiar la empresa con oposición del resto de las familias. El Sr. C.C.C. mantuvo conversaciones con la directora del colegio acordando informar a los padres. Dado que había comenzado el periodo vacacional, la única comunicación que se podía utilizar era vía correo electrónico. 2.3. A petición de la dirección del colegio, Hotelma facilitó los correos de algunas familias que utilizan dicho servicio, al Sr, C.C.C. encargado de dicha actividad y padre de alumnos de colegio. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II Los hechos denunciados se concretan en el envío a diversos destinatarios de un correo electrónico, de fecha 03/07/2013, desde una cuenta en el dominio gmail.com. El asunto de dicho correo electrónico estaba relacionado con la supresión de una contrata que atendía a algunos alumnos del colegio y en el mismo se instaba a los destinatarios a una reunión para solucionar el problema planteado. Con carácter previo procede señalar que el artículo 6.1 de la LOPD dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. El apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en el 6.1 estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento...” El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F. J. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son pues elementos característicos del derecho fundamental a la protección de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 datos personales, los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. III La LOPD además de sentar el anterior principio de consentimiento, regula en su artículo 4 el principio de calidad de datos. El apartado 2 del citado artículo 4, dispone: “Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos.” Las “finalidades” a las que alude este apartado 2 han de ligarse o conectarse siempre con el principio de pertinencia o limitación en la recogida de datos regulado en el artículo 4.1 de la misma Ley. Conforme a dicho precepto los datos sólo podrán tratarse cuando “sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” En consecuencia, si el tratamiento del dato ha de ser “pertinente” al fin perseguido y la finalidad ha de estar “determinada”, difícilmente se puede encontrar un uso del dato para una finalidad “distinta” sin incurrir en la prohibición del artículo 4.2 aunque emplee el término “incompatible”. La citada Sentencia del Tribunal Constitucional 292/2000, se ha pronunciado sobre la vinculación entre el consentimiento y la finalidad para el tratamiento de los datos personales, en los siguientes términos: “el derecho a consentir la recogida y el tratamiento de los datos personales (Art. 6 LOPD) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad específica que también forma parte del contenido del derecho fundamental a la protección de datos. Y, por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aún cuando puedan ser compatibles con estos (Art. 4.2 LOPD), supone una nueva posesión y uso que requiere el consentimiento del interesado. Una facultad que sólo cabe limitar en atención a derechos y bienes de relevancia constitucional y, por tanto, esté justificada, sea proporcionada y, además, se establezca por ley, pues el derecho fundamental a la protección de datos personales no admite otros límites. De otro lado, es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de éstos, pues sólo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos personales. Para lo que no basta que conozca que tal cesión es posible según la disposición que ha creado o modificado el fichero, sino también las circunstancias de cada cesión concreta. Pues en otro caso sería fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos. De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (Art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia.” La Audiencia Nacional, en diferentes Sentencias, considera que el artículo 4 de la LOPD establece una sutil distinción entre finalidad de la recogida y finalidad del tratamiento, “pues la recogida sólo puede hacerse con fines determinados, explícitos y legítimos, y el tratamiento posterior no puede hacerse de manera incompatible con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 dichos fines. Así pues, y de acuerdo con el artículo 1.
2. b)de la Directiva 95/46/CE de 24 de octubre de 1995 (en cuya redacción se inspira el repetido artículo 4.2 de nuestra LOPD), si la recogida se hizo con fines determinados, cualquier uso o tratamiento posterior con finalidad distinta es incompatible con la primera finalidad que determinó la captura por lo que, en este contexto, diferente o incompatible significan lo mismo.” De lo expuesto cabe concluir que la vigente LOPD ha acentuado las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a éste y de las finalidades para las que los datos pueden ser recabados y tratados. En definitiva, los datos no pueden ser tratados para fines distintos a los que motivaron su recogida, pues esto supondría un nuevo uso que requiere el consentimiento del interesado. En el caso presente, tanto la denunciante como el denunciado son padres de alumnos del Colegio Público La Encina y los datos personales objeto de la denuncia ha sido tratados en dicho ámbito escolar. El denunciado utilizó dichos datos para enviar un correo electrónico relacionado con una reunión referida a la suspensión de la contrata del servicio denominado “Primeros del Cole”, de interés para todos ellos, no apreciándose que la dirección de correo electrónico de la denunciante se haya utilizado para una finalidad incompatible. Resultando relevante por otra parte el contexto temporal en que se realizó: el mes de junio en el que la comunicación de otra forma resultaba difícil tratándose de un asunto a dilucidar de manera urgente. IV Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a Don B.B.B., HOTELMA S.A., y a Doña A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es