1/6 Expediente Nº: E/07085/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad SOCIETAT CIVIL CATALANA ASSOCIACIO CIVICA I CULTURAL en virtud de denuncias presentadas por Don B.B.B. y Doña A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 12 de noviembre de 2017 tuvo entrada en esta Agencia escrito de Don B.B.B. en el que denuncia que en la página web de SOCIETAT CIVIL CATALANA ASSOCIACIO CIVICA I CULTURAL, en concreto en la dirección ***WEB.1, existe un formulario de recogida de denuncias de hechos en centros escolares. El formulario recoge información relativa a nombre y apellidos, teléfono y dirección de correo electrónico de contacto, incluyendo también un espacio de “descripción” o “evidencias” en el que se podría facilitar información de carácter ideológico. Según manifiesta, la asociación denunciada tiene registrados cinco ficheros y ninguno de ellos se corresponde con los datos recogidos en el formulario. Entre otra, anexa la siguiente documentación: Listado de los ficheros inscritos por la entidad denunciada, donde constan: Colaboradores y Simpatizantes, Firmantes del Manifiesto, Miembros de la Asociación, Nóminas y Socios y Colaboradores. Copia impresa del formulario publicado en la citada página web. SEGUNDO: Con fecha 16 de noviembre de 2017, la Agencia Catalana de Protección de Datos remite a esta Agencia denuncia de Doña A.A.A., que ha recibido con fecha 10 de noviembre, en la que se ponen de manifiesto los mismos hechos. La denunciante manifiesta que en el citado formulario no figura quién es el responsable del fichero ni cómo acceder en caso de que se quieran ejercer los derechos de acceso, rectificación, cancelación y oposición. TERCERO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados (Informe E/07085/20017), teniendo conocimiento de los siguientes extremos: Se ha verificado la inscripción en el Registro General de Protección de Datos de cinco ficheros cuyo titular es SOCIETAT CIVIL CATALANA ASSOCIACIO CIVICA I CULTURAL, entre los que se encuentran los denominados “Socios y colaboradores” y “Colaboradores y simpatizantes” con códigos de inscripción ***COD.1 y ***COD.2, respectivamente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 Se ha comprobado que en la página web de la asociación denunciada, ubicada en la dirección https://***WEB.2, en el apartado “Política de Privacidad”, se incluye información sobre el tratamiento de los datos que se faciliten: Se indica que dichos datos serán incorporados a un fichero automatizado del que es responsable SOCIETAT CIVIL CATALANA ASSOCIACIO CIVICA I CULTURAL. Se informa de la existencia de medidas de seguridad de índole técnica y organizativa. Se informa sobre el ejercicio de los derechos de acceso, rectificación, cancelación y oposición, con indicación de la dirección a la que deben dirigirse y también de la posibilidad de remitir las solicitudes por correo electrónico a la dirección ***EMAIL.1 Se informa de la posibilidad de oponerse a la recepción de información sobre actividades, actos y servicios de la asociación. Con fecha 13 de febrero de 2018, SOCIETAT CIVIL CATALANA ASSOCIACIO CIVICA I CULTURAL ha remitido a esta Agencia la siguiente información en relación con los hechos denunciados: 1. Los ficheros en los que se han tratado los datos recogidos a través del 2. 3. 4. 5. formulario “Agrupación de Enseñanza” incluido en su página web ***WEB.2, son los inscritos en el Registro General de Protección de Datos con los códigos ***COD.1 y ***COD.2, que contienen los datos relativos a los colaboradores y simpatizantes de la Asociación. Aportan copia de los escritos de notificación de los ficheros inscritos de fechas 4 de mayo de 2016 y 28 de marzo de 2017. Los tratamientos que han realizado con los datos obtenidos a través del citado formulario han sido operaciones y procedimientos técnicos de carácter automatizado y no automatizado, como la recogida y conservación de los datos de los interesados con la finalidad de organizar el archivo de los formularios. Además de los datos de contacto identificativos del interesado, se incluían la descripción de los hechos o circunstancias y se podían aportar imágenes de objetos, todo ello con la finalidad de realizar un informe en el que no se reflejarían ninguno de los datos personales de las personas físicas. Una vez finalizado, se procedería a la cancelación y supresión de los datos recibidos. El citado formulario ya se ha deshabilitado de su página web. Aportan copia de la información que se facilitaba en el mismo, donde se indica que los datos serán tratados con confidencialidad, de acuerdo con lo establecido en la Ley Orgánica 15/1999 sobre Protección de Datos de Carácter Personal y el resto de la Legislación aplicable. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo, LOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 II En el presente procedimiento se imputa a la entidad SOCIETAT CIVIL CATALANA ASSOCIACIO CIVICA I CULTURAL, en su condición de responsable del sitio web ***WEB.2, una infracción del artículo 5 de la LOPD, cuyos apartados 1 y 2 establecen, en cuanto el “Derecho de información en la recogida de datos”, lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior”. Dicho precepto, por tanto, fija el momento en que se ha de informar a los interesados a los que se recaben datos personales y el contenido de dicha información. La obligación que impone este artículo 5.1 es, por tanto, la de informar a los afectados de los reseñados extremos, pues sólo así queda garantizado el derecho de los mismos a tener una apropiada información y a consentir o no el tratamiento, en función de aquélla. Dicha información debe suministrarse a los afectados previamente a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. El citado artículo 5.2 de la LOPD establece una regla especial para los supuestos en que se utilicen formularios u otros impresos para la recogida de la información, exigiendo que “Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior.” Así, de acuerdo con lo anteriormente señalado, la denunciada debe proporcionar de forma expresa, precisa e inequívoca a los afectados a los que requiere datos personales a través de los formularios obrantes en la página web de su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 titularidad la información a la que se refiere el artículo 5.1 de la LOPD, y lo debe hacer previamente a la solicitud de los mismos. El Tribunal Constitucional, en la STC 292/2000, de 30 de noviembre, que delimita el contenido esencial del derecho fundamental a la protección de los datos personales, ha considerado el derecho de información previa como un elemento indispensable del derecho fundamental a la protección de datos al declarar que “son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. Igualmente, en dicha Sentencia se realiza el siguiente pronunciamiento sobre la importancia del derecho a la información previa: “De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia”. Es decir, la exigencia de la información requerida en el artículo 5.1 y 2 de la LOPD constituye un derecho del afectado que es objeto de protección por sí mismo, y además, resulta un complemento previo para el ejercicio de otros derechos que la LOPD reconoce. En este sentido, la LOPD recoge las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a este, y de las finalidades para las que los datos pueden ser recabados y tratados. El artículo 44.2.
- c)de la LOPD considera como infracción leve “el incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado”. En el presente caso, se ha constatado que a través del formulario insertado en la dirección ***WEB.1, la entidad SOCIETAT CIVIL CATALANA ASSOCIACIO CIVICA I CULTURAL recogió datos de carácter personal relativos a nombre y apellidos, teléfono y dirección de correo electrónico de contacto, incluyendo también un espacio de “descripción” o “evidencias”. En su página web existe un apartado, “Política de Privacidad”, en el que se indica que los datos serán incorporados a un fichero automatizado del que dicha entidad es responsable, se informa de la existencia de medidas de seguridad de índole técnica y organizativa y sobre el ejercicio de los derechos de acceso, rectificación, cancelación y oposición, con indicación de la dirección a la que deben dirigirse y también de la posibilidad de remitir las solicitudes por correo electrónico a la dirección ***EMAIL.1, así como de la posibilidad de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 oponerse a la recepción de información sobre actividades, actos y servicios de la asociación. Por este motivo, ha quedado acreditado que la entidad denunciada cumplió con las obligaciones establecidas en el artículo 5 de la LOPD. III Asimismo, se imputa a SOCIETAT CIVIL CATALANA ASSOCIACIO CIVICA I CULTURAL una infracción del artículo 26.1 de la LOPD, que bajo la rúbrica “Notificación e inscripción registral” establece: “1. Toda persona o entidad que proceda a la creación de ficheros de datos de carácter personal lo notificará previamente a la Agencia de Protección de Datos.” Dicho precepto debe ponerse en relación con lo dispuesto en el artículo 55.2 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que dispone sobre la “Notificación de ficheros” lo siguiente: “Los ficheros de datos de carácter personal de titularidad privada serán notificados a la Agencia Española de Protección de Datos por la persona o entidad privada que pretenda crearlos, con carácter previo a su creación. La notificación deberá indicar la identificación del responsable del fichero, la identificación del fichero, sus finalidades y los usos previstos, el sistema de tratamiento empleado en su organización, el colectivo de personas sobre el que se obtienen los datos, el procedimiento y procedencia de los datos, las categorías de datos, el servicio o unidad de acceso, la indicación del nivel de medidas de seguridad básico, medio o alto exigible, y en su caso, la identificación del encargado del tratamiento en donde se encuentre ubicado el fichero y los destinatarios de cesiones y transferencias internacionales de datos.” El artículo 44.2.
- b)de la LOPD tipifica como infracción leve “no solicitar la inscripción del fichero de datos de carácter personal en el Registro General de Protección de Datos”. En el presente caso, ha quedado acreditado que la entidad denunciada cuenta con dos ficheros relativos a los colaboradores y simpatizantes de la asociación, inscritos en el Registro General de Protección de Datos con fechas 4 de mayo de 2016 y 28 de marzo de 2017. Los datos de carácter personal recopilados a través de la dirección ***WEB.1 fueron incorporados a dichos ficheros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 IV El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a SOCIETAT CIVIL CATALANA ASSOCIACIO CIVICA I CULTURAL y a Don B.B.B. y Doña A.A.A. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es