E-06682-2017

1/7 Expediente Nº: E/06682/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades Colorfulfamilies, y el Instituto Madrileño de Fertilidad, S.L., en virtud de denuncia presentada por Doña A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 18 de noviembre de 2017, tuvo entrada en esta Agencia un escrito remitido por Doña A.A.A. en el que expone lo siguiente: A principios del año 2014 acudió a una consulta de fertilidad en el Instituto Madrileño de Fertilidad (en adelante IMF), para lo cual aportó una serie de datos médicos y personales, pero decidió no someterse a ningún tratamiento en la clínica. El día 28 de julio de 2017, recibió una encuesta sobre Tratamiento de Reproducción Asistidas en Mujeres Lesbianas, desde la dirección ***EMAIL.1@gmail.com, con quien no mantenía ninguna relación. Ante estos hechos, solicitó información al remitente sobre el origen de sus datos, contestándole que colaboraban con el IMF y que ofrecían cursos. Con fecha 27 de septiembre de 2017 pone en conocimiento del IMF los hechos denunciados. Con fecha 3 de octubre de 2017, recibe una llamada telefónica del IMF, en la que le comunican que los datos con los que cuentan obtenidos en la visita del año 2014 y que no han sido cedidos a terceros. Con fecha 24 de octubre recibe escrito en contestación s su ejercicio de acceso. Anexa, entre otra, la siguiente documentación:  Copia del escrito de ejercicio de Acceso de fecha 26 de septiembre de 2017.  Copia del escrito de contestación del IMF, de fecha 20 de octubre de 2017.  Copia de la encuesta remitida en el correo. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: - Con fecha 18 de enero de 2018 se mantuvo una entrevista con Doña B.B.B., representante de la Asociación COLORFULFAMILIES, en los locales de la Agencia, poniéndose de manifiesto que: 1.1. La representante de la Asociación es a su vez trabajadora del Instituto Madrileño de Fertilidad. 1.2. Hace aproximadamente 6 años, varios profesionales que trabajan con el Instituto Madrileño de Fertilidad o colaboran con el mismo, crearon la Asociación sin C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 ánimo de lucro, “MUJER Y MADRE HOY” con la finalidad de mejorar la atención a pacientes de Reproducción asistida. 1.3. En la actualidad, se está cambiando la denominación, que pasará a denominarse COLORFULFAMILIES; y en el mes de junio comenzaron a remitir correos electrónicos informativos desde una dirección creada con dicho nombre: ***EMAIL.1@gmail.com. 1.4. Los correos objeto de denuncia, eran remitidos a personas que se habían puesto en contacto con el Instituto Madrileño de Fertilidad, para solicitar información o llevar a cabo algún tratamiento de fertilidad, y que han facilitado sus datos. A todas las personas que facilitan sus datos, se les hace entrega de un documento informativo sobre la recogida de datos de carácter personal. 1.5. En dicho documento, en el apartado 4 consta lo siguiente: Además autoriza que sus datos personales básicos (nombre, e-mail), puedan ser usados para encuestas médicas anónimas de interés científico o médico, así como para recibir información sobre nuestros talleres informativos en las áreas de su interés, sin perjuicio del derecho a la desuscripción o cancelación de estos envíos en cualquier momento” 1.6. Los citados correos fueron remitidos desde las instalaciones de dicho Instituto, utilizando la Base de Datos del mismo, aunque figure como remitente la Asociación COLORFULFAMLIES, por lo que no ha existido cesión de datos y que ninguna persona ajena al Instituto tiene acceso a dicha información. 1.7. La representante de la Asociación manifiesta que, la encuesta que fue remitida en julio de 2017, fue elaborada por el Instituto Madrileño de Fertilidad para remisión a sus clientes, y que fue un error el remitirla desde la dirección de correo creada para COLORFULFAMILIES. 1.8. Así mismo manifiesta que la Plataforma de envío de la encuesta, así como la recogida de los datos de los clientes del Instituto, se realiza a través de una Plataforma Online denominada: “***PLAT.1”, cuyos servicios son facturados al Instituto Madrileño de Fertilidad, y que además dicha encuesta era anónima. 1.9. Se adjunta a estas Actuaciones documentación acreditativa de las manifestaciones realizadas por la representante de COLORFULFAMILIE 2. Con fechas 24 y 25 de enero de 2017, la representante de la Asociación remitió correos electrónicos a esta Agencia, en los que informa no contar con el documento firmado por la denunciante al que se refiere el apartado 1.4 de este Informe. Así mismo manifiesta que la Asociación no cuenta con número de CIF porque actúa como punto de encuentro de los profesionales. Los talleres y eventos que se realizan, en algunos casos es gratuito y en otros los propios profesionales son los que facturan directamente al IMF. 3. Con fecha 22 de febrero de 2018, se recibe escrito del Instituto Madrileño de Fertilidad (IMF), en el que ponen de manifiesto que: 3.1. El IMF tiene firmado un convenio de colaboración con la Asociación MUJER & MADRE HOY, que tiene por objeto ofrecer una mejora de la calidad en la atención de los pacientes en tratamientos de reproducción asistida. Acompaña copia del Acuerdo de Colaboración. 3.2. La Asociación y el IMF ofrecen de forma conjunta talleres terapéuticos, charlas informativas, etc., para lo cual se suscribió un contrato, con fecha 18 de mayo de 2015, en donde la Asociación figura como encargado del tratamiento en cuanto a la elaboración de los talleres y charlas. Adjunta copia del Contrato de acceso a datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 3.3. Adicionalmente, Doña B.B.B. trabaja como colaboradora estable en el IMF, realizando actividades de dirección de comunicación del Instituto. Acompaña al escrito copia del Contrato mercantil, entre Doña B.B.B. y el IMF. 3.4. Así mismo, adjunta copia del documento de confidencialidad suscrito por Doña B.B.B. y del Documento de seguridad donde constan las medidas de orden técnico y organizativo adoptadas por el IMF. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III La denunciante indica que el IMI ha facilitado sus datos a una asociación que le ha enviado una encuesta sin que ella hubiese autorizado a que sus datos se cedan a ningún tercero. El artículo 11. 1 y 2 de la LOPD, relativo a la cesión de datos, señala lo siguiente: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso:
2. a)Cuando la cesión está autorizada en una Ley.
3. b)Cuando se trate de datos recogidos de fuentes accesibles al público.
4. c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique.
5. d)Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco será preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7
6. e)Cuando la cesión se produzca entre Administraciones Públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos.
7. f)Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica.” El artículo 12 de la LOPD “acceso a datos por cuenta de terceros”, establece lo siguiente: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto de tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”. El citado artículo 12.1 de la LOPD permite que el responsable del fichero habilite el acceso a datos de carácter personal por parte de la entidad que va a prestarle un servicio –encargado del tratamiento- sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión de datos. La LOPD exige que el acceso a datos por cuenta de terceros figure reflejado en un contrato por escrito o en alguna otra forma que permita acreditar su celebración y contenido, y prevé unos contenidos mínimos, tales como seguir las instrucciones del responsable del tratamiento, no utilizar los datos para un fin distinto, no comunicarlos a otras personas, estipular las medidas de seguridad del artículo 9 y, cumplida la prestación, destruir los datos o proceder a su devolución al responsable del tratamiento. En el presente caso, ha quedado constatado que existe formalizado un contrato de prestación de servicios entre el IMI y la Asociación Mujer & Madre Hoy (denominada en la actualidad Colorfulfamilies), de fecha 18 de mayo de 2015, en cuyas Estipulaciones se recogen las exigencias establecidas por la normativa de protección de datos para el tipo de datos que van a ser objeto de tratamiento: medidas de seguridad, integridad de la información, confidencialidad… La finalidad del encargo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 del tratamiento es comunicación a pacientes y donantes de los talleres y charlas de apoyo emocional y psicológico. Asimismo, se establece que la gestión de las convocatorias la harán el IMI o la Asociación. En el supuesto denunciado, Colorfulfamilies tiene habilitación legal para el tratamiento de los datos de las donantes y pacientes del IMI para enviar la encuesta de experiencia de pacientes LBT en tratamientos de reproducción asistida. El fichero continúa siendo responsabilidad del IMI, a quien lo devolverán cuando finalice la prestación del servicio contratado, y que es el responsable de su inscripción. En consecuencia, no se ha producido vulneración de la normativa de protección de datos en relación con el tratamiento de los datos de la denunciante por parte de Colorfulfamilies, en nombre y por cuenta del IMI. No obstante, hay que señalar que esta reclamación es consecuencia de la mala información facilitada a la denunciante al ejercer el derecho de acceso frente al IMI. De haberla explicado la relación entre el Instituto y la Asociación y de la habilitación de esta última para el tratamiento de sus datos no se hubiese producido la reclamación. Asimismo, en la contestación facilitada deberían haber informado a la denunciante de la posibilidad de oponerse al tratamiento de sus datos con fines de remitirle información sobre actividades y talleres relacionados con la reproducción asistida. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a Colorfulfamilies, al Instituto Madrileño de Fertilidad, S.L., y a Doña A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es