E-06908-2013

1/4 Expediente Nº: E/06908/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante ICEX España Exportación e Inversiones, en virtud de denuncia presentada por doña A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: En fecha de 5 de noviembre de 2013 tiene entrada en esta Agencia un escrito de doña A.A.A. en el que presenta denuncia contra ICEX España Exportación e Inversiones (en adelante ICEX), como responsable de la publicación de su Currículum Vitae (CV) en internet, sin ningún tipo de restricciones de acceso. Según expone, al realizar una búsqueda en Google de su nombre completo, obtiene un resultado asociado al dominio icex.es, que enlaza directamente con el CV, sin que la afectada hubiera facilitado sus datos a ICEX, ni hubiera dado su consentimiento para la publicación de los mismos. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Por la Inspección de Datos se verificó el 11 de noviembre que, al realizar una búsqueda en Google del nombre y apellidos de la denunciante, se obtenía como resultado (el primero de la primera página de resultados) un enlace con el CV de la denunciante, que incluía su fecha y lugar de nacimiento, domicilio, número de teléfono, dirección electrónica y detalles de su trayectoria académica y profesional. Se verificó asimismo que en direcciones web similares al citado enlace (http://www.icex.es............) resultaban accesibles los CV de otras personas. 2. ICEX, adscrita al Ministerio de Economía y Competitividad a través de la Secretaría de Estado de Comercio, ha aclarado en su escrito de respuesta al requerimiento de información de la Inspección, que conforme al artículo 15.2 del Real Decreto 1636/2011, de 14 de noviembre, por el que se aprueba el Estatuto de la Entidad Pública Empresarial, ICEX actúa en el exterior a través de “Consejerías y Agregadurías Económicas y Comerciales de las Misiones Diplomáticas permanentes de España en el exterior”, también denominadas Oficinas Económicas y Comerciales en el exterior (en adelante, Oficinas Comerciales). 3. ICEX ha declarado: “El CV de la denunciante fue enviado por ella misma a la cuenta de correo electrónico de la Oficina Comercial de Mumbai en India solicitando un puesto de trabajo en India. […] En respuesta a su solicitud, la Oficina Comercial de Mumbai le ofreció publicar su CV en la página web de la Oficina Comercial, a lo que ella contestó solicitando expresamente la difusión de su CV a todas las empresas y organizaciones a quienes pudiese interesar en India” A este respecto, ICEX ha aportado a la Inspección copia impresa del hilo de correos intercambiados. En particular, se incluye copia del mensaje remitido a la denunciante el 27 de noviembre de 2012 con el siguiente texto: “Muchas gracias por escribir a la Oficina Económica y Comercial de España en Mumbai. Le informamos de que podemos difundir su CV a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 través de la Web de la Ofecome en la bolsa de empleo (tenga en cuenta que la Web es de carácter público).” Según la documentación aportada, la denunciante contestó al mensaje con el siguiente texto: “Muchas gracias por vuestra atención y ayuda. Estaría muy agradecida si pudieseis hacer llegar mi currículum a todas aquellas empresas y organizaciones a quienes pudiese interesar. Sirva este e-mail como autorización expresa.” 4. Según se expone en el escrito de ICEX: “En ningún momento se ha recibido solicitud de cancelación de datos de la denunciante, ni en ICEX ni en la Oficina Comercial de Mumbai, si bien hemos procedido a borrar el CV de la denunciante, tras tener conocimiento de la denuncia presentada ante la Agencia. […] Respecto al resto de currícula vitae que aparecían publicados en la web de la oficina comercial de Mumbai, les informamos que el procedimiento fue similar al de la denunciante. Son ellos los que se pusieron en contacto en su día con la Oficina Económica y Comercial de Mumbai y solicitaron se publicara su CV en la bolsa de trabajo de la web de la Oficina.” No obstante, ICEX manifiesta: “Tras el conocimiento de la denuncia […] la Oficina Económica y Comercial de Mumbai ha procedido a contactar con todos aquellas personas que tenían sus Curricula Vitae publicados en la Bolsa de trabajo para preguntarles si estaban interesados en continuar teniendo sus curricula publicados en la bolsa y solo dos de ellos han contestado hasta la fecha, y han remitido firmadas las Autorizaciones”. 5. ICEX entiende que el fichero en el que se incorporan los datos de los CV no es responsabilidad de ICEX, sino de la Oficina Comercial de Mumbai. A este respecto ha puntualizado: “Las páginas web de las Oficinas Comerciales, así como los contenidos que publican están alojados en el gestor de contenidos web de ICEX. […] Los CV (enlaces) se encuentran publicados en las webs de oficinas comerciales, pero los documentos anexos de todos los portales de oficinas comerciales están en el gestor documental ubicado en el dominio icex.es. Todos los documentos se muestran a partir de una misma página del portal que está bajo dominio de icex.es.” 6. En fecha 10 de abril se realizó una búsqueda en Google del nombre y apellidos de la denunciante, obteniéndose como primer resultado el siguiente: ICEX>>Instituto Español de Comercio Exterior www.icex.es............1 En estos momentos no es posible facilitarle la información solicitada. Por favor, inténtelo más tarde o póngase en contacto con nuestro Centro de Información, ... Al seleccionar este resultado, se accede a una página que contiene un anuncio informativo de ICEX, con el texto contenido en el snippet reproducido arriba. 7. En fecha 8 de octubre se ha realizado una búsqueda en Google del nombre y apellidos de la denunciante, no obteniéndose constancia de que los datos de la denunciante asociados al dominio icex.es permanezcan indexados en el buscador. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 Carácter Personal (en lo sucesivo LOPD). II La LOPD establece, en el artículo 2.1, su ámbito de aplicación: "los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado". Asimismo prevé: "Se regirá por la presente Ley Orgánica todo tratamiento de datos de carácter personal:
2. a)Cuando el tratamiento sea efectuado en territorio español en el marco de las actividades de un establecimiento del responsable del tratamiento.
3. b)Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española en aplicación de normas de Derecho Internacional público.
4. c)Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito." Según ha declarado el ICEX, el CV de la denunciante que fue indexado por el motor de búsqueda de Google estaba alojado, como otros documentos publicados por las distintas Oficinas económicas y comerciales, en servidores web que administra en España la citada entidad pública. III El artículo 6 de LOPD dispone en sus apartados 1 y 2 que el tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público o bien que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento, siempre que los datos de que se trate sean necesarios para el mantenimiento o cumplimiento del contrato. De la documentación aportada por ICEX se desprende que la denunciante contestó afirmativamente a la propuesta de la Oficina Económica y Comercial de España en Mumbai de difundir su CV a través de su bolsa de empleo en internet, habiendo sido advertida expresamente del carácter público de su sitio web. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a ICEX ESPAÑA EXPORTACIÓN E INVERSIONES y a doña A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es