1/7 Expediente Nº: E/06689/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el CENTRO ESPECÍFICO DE EDUCACIÓN ESPECIAL C.C.C. en virtud de denuncia presentada por Doña B.B.B. y Don A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 6 de noviembre de 2017, tuvo entrada en esta Agencia escrito de Doña B.B.B. y Don A.A.A. (en lo sucesivo, los denunciantes) en el que denuncian lo siguiente: En el año 2013 solicitaron plaza para su hija en el CENTRO ESPECÍFICO DE EDUCACIÓN ESPECIAL C.C.C., aportando en dicha solicitud el domicilio en el que residían circunstancialmente en aquellas fechas, que no era de su propiedad, y cuya dirección únicamente fue facilitada al colegio denunciado. Dicha dirección no fue puesta en conocimiento de ningún otro tercero, ni consta información sobre la misma que pueda vincularse a los denunciantes en ningún tipo de registro público, pues poco tiempo después trasladaron su residencia al que actualmente es su domicilio. Durante el curso escolar 2016/2017, con motivo de problemas entre su hija y otro alumno del centro, fue enviado a dicho domicilio un burofax, con fecha 24 de marzo de 2017, por parte de un despacho de abogados, JMJ ABOGADOS, a instancias de la madre del otro alumno implicado. Alegan que solamente el centro escolar denunciado pudo poner en su conocimiento la dirección de dicho domicilio y que, de hecho, la directora del centro reconoció verbalmente haber cedido este dato a la madre del citado alumno. Afirman que estos hechos suponen una infracción grave de la LOPD, por lo que solicitan que se le imponga una multa de 600.000 euros al centro denunciado. Así mismo, afirman que esta situación ha provocado un desencuentro entre los denunciantes y el personal del centro, que ha derivado en un trato discriminatorio por parte de dicho personal hacia su hija con motivo de haberles pedido explicaciones por la cesión de datos efectuada. Esto ha afectado psicológicamente a la menor de forma grave, por lo que solicitan una indemnización por los daños causados de 15.975 euros. Anexa, entre otra documentación, la siguiente: Copia de la solicitud de admisión en el centro denunciado en el año 2013, en la que consta el mencionado domicilio. Nota simple del Registro de la propiedad correspondiente al citado domicilio, en la que se observa que no es de la titularidad de los denunciantes. Certificados del padrón municipal, correspondientes a los denunciantes y a su hija menor de edad, en los que consta su actual dirección y no la que fue facilitada al centro. Con fecha 15 de enero remite copia legible del burofax recibido en el citado domicilio. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación (Informe E/06689/2017) para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fecha 18 de enero de 2018, tiene entrada en esta Agencia un escrito del CENTRO ESPECÍFICO DE EDUCACIÓN ESPECIAL C.C.C., en el que pone de manifiesto que desde ese Centro, ni la dirección así como tampoco ningún trabajador o trabajadora del mismo (miembros del claustro y personal laboral), han facilitado en ninguna fecha información relacionada con el domicilio de los denunciantes. 2. Con fecha 30 de enero de 2018, se recibe escrito de JMJ ABOGADOS, en el que ponen de manifiesto que: 2.1. La madre del otro alumno acudió a su despacho para solicitar sus servicios con motivo de un problema entre alumnos en el centro donde estudiaba su hijo. 2.2. En el marco de sus actuaciones, aconsejaron a la clienta el intento de una solución extrajudicial, mediante el envío de un burofax a los padres del otro alumno. 2.3. Por este motivo, y con el fin de dejar constancia fehaciente de la tentativa de llegar a una solución en el conflicto, se remitió el citado burofax a la dirección aportada por su cliente. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo, LOPD). II En el presente caso, se imputa al CENTRO ESPECÍFICO DE EDUCACIÓN ESPECIAL C.C.C. la comisión de una infracción del artículo 11 de la LOPD, que dispone: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 2. El consentimiento exigido en el apartado anterior no será preciso:
- a)Cuando la cesión está autorizada en una ley.
- b)Cuando se trate de datos recogidos de fuentes accesibles al público.
- c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique.
- d)Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco será preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas.
- e)Cuando la cesión se produzca entre Administraciones públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos.
- f)Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica. 3. Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero, cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquel a quien se pretenden comunicar. 4. El consentimiento para la comunicación de los datos de carácter personal tiene también un carácter de revocable. 5. Aquel a quien se comuniquen los datos de carácter personal se obliga, por el solo hecho de la comunicación, a la observancia de las disposiciones de la presente Ley. 6. Si la comunicación se efectúa previo procedimiento de disociación, no será aplicable lo establecido en los apartados anteriores”. En el caso que nos ocupa, se imputa al centro denunciado el haber cedido datos de carácter personal de los denunciantes, en concreto, su domicilio, a terceros, padres de otro alumno del centro, sin su consentimiento y sin que pueda ampararse dicha comunicación en ninguna de las excepciones previstas en el apartado segundo del transcrito artículo 11 de la LOPD. Dicha infracción se encuentra tipificada como grave en el artículo 44.3.
- k)de la LOPD, que considera como tal “La comunicación o cesión de los datos de carácter personal sin contar con legitimación para ello en los términos previstos en esta Ley y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 Así mismo, cabe añadir que las infracciones graves, tal y como dispone el artículo 45.2 de la LOPD, serán sancionadas con multa de 40.001 a 300.000 euros, y no con multa de 300.001 a 600.000 euros, que es el tramo que, en virtud del artículo 45.3 de la LOPD, corresponde a las infracciones muy graves. Por tanto, en ningún caso cabría imponer una multa de 600.000 euros por la comisión de la infracción denunciada. Por otro lado, en este caso la entidad denunciada tiene la condición de Administración Pública, por lo que resultaría de aplicación el artículo 46 de la LOPD, que establece: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. En consecuencia, no cabría en el presente caso imponer una multa a la entidad denunciada, debido a su carácter de Administración pública. III El artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, establece: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. De las actuaciones previas de investigación llevadas a cabo por esta Agencia no se derivan elementos probatorios de los que se infiera que el centro denunciado ha realizado una cesión de datos sin consentimiento. En este sentido, en contra de lo afirmado por los denunciantes, la directora del centro ha negado que ella o cualquier C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 otro trabajador del mismo hayan facilitado en ninguna fecha información relacionada con el domicilio de los denunciantes. El resto de documentos aportados por los denunciantes no resultan suficientes para probar que el centro denunciado haya cometido la infracción que se le imputa. En este orden de ideas, debe tenerse en cuenta que en el ámbito administrativo sancionador son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, teniendo plena virtualidad el principio de presunción de inocencia, que debe regir en el ordenamiento sancionador y ha de ser respetado en la imposición de cualesquiera sanciones. Esto, porque el ejercicio del ius puniendi, en sus diversas manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En este sentido se ha pronunciado reiteradamente el Tribunal Constitucional, entre otras en SSTC 120/1994 y 76/1990, señalando en esta última que “… la presunción de inocencia rige sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, sean penales, sean administrativas en general o tributarias en particular”. Expone también el Tribunal Constitucional en la Sentencia 76/1990 que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. Por otra parte, la Sentencia del Tribunal Constitucional de 20/02/1989 afirma que “Nuestra doctrina y jurisprudencia penal han venido sosteniendo que, aunque ambos puedan considerarse como manifestaciones de un genérico favor rei, existe una diferencia sustancial entre el derecho a la presunción de inocencia, que desenvuelve su eficacia cuando existe una falta absoluta de pruebas o cuando las practicadas no reúnen las garantías procesales y el principio jurisprudencial in dubio pro reo que pertenece al momento de la valoración o apreciación probatoria, y que ha de juzgar cuando, concurre aquella actividad probatoria indispensable, exista una duda racional sobre la real concurrencia de los elementos objetivos y subjetivos que integran el tipo penal de que se trate.” Así mismo, se debe tener en cuenta lo que establece el artículo 53.2 la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas: “Además de los derechos previstos en el apartado anterior, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables, tendrán los siguientes derechos: (…)
- b)A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario”. En el presente caso, en aplicación del principio de presunción de inocencia, que impide imponer una sanción en el caso de que exista una falta de pruebas respecto de un hecho concreto y determinante, no procede activar un procedimiento de declaración de infracción de Administraciones Públicas, al no estar acreditada la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 comisión de la infracción imputada. No resulta posible, por ello, imputar la conducta típica y antijurídica que establece el artículo 44.3.
- k)de la LOPD al CENTRO ESPECÍFICO DE EDUCACIÓN ESPECIAL C.C.C., siendo la solución procedente en derecho el archivo de las actuaciones. IV En relación con la solicitud de indemnización por daños y perjuicios que solicitan los denunciantes, dicha cuestión queda fuera del ámbito competencial de esta Agencia. En virtud de lo establecido en el artículo 19 de la LOPD, deberá exigirse de acuerdo con la legislación reguladora del régimen de responsabilidad de las Administraciones públicas, dirigiéndose a tal efecto a la Administración que consideren responsable del daño causado. En este sentido, el artículo 36 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, establece, en su apartado primero: “1. Para hacer efectiva la responsabilidad patrimonial a que se refiere esta Ley, los particulares exigirán directamente a la Administración Pública correspondiente las indemnizaciones por los daños y perjuicios causados por las autoridades y personal a su servicio”. V El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución al CENTRO ESPECÍFICO EDUCACIÓN ESPECIAL C.C.C. y a Doña B.B.B. y Don A.A.A.. DE De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es