E-07090-2014

1/5 Expediente Nº: E/07090/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el INSTITUTO NACIONAL DE LA SEGURIDAD SOCIAL, y D. A.A.A. en virtud de denuncia presentada por Dª B.B.B. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 5 de agosto de 2014, tuvo entrada en esta Agencia escrito de D.ª B.B.B. (en lo sucesivo la denunciante) contra el INSTITUTO NACIONAL DE LA SEGURIDAD SOCIAL y D. A.A.A. en lo sucesivo el/la denunciado/

1. a)en el que denuncia que “Con fecha 15/07/2014 formuló en la oficina del INSS sita en Montoro (córdoba), solicité prestación familiar. El funcionario que me atendió, D. A.A.A., una vez tomados los datos personales para mecanizarlos, no sólo hizo este trámite, si no se apropió indebidamente de mi número personal de móvil, para enviarme whatsapp, estos fuera de tono, y a horas poco aconsejadas. Como consecuencia de esto, sufro situaciones de pánico, estrés, miedo. El funcionario, al no contestarle sus mensajes, mecanizó mal mis datos, y por ello, no he percibido la prestación pretendida.>> Aporta la denunciante copia de la siguiente documentación: - Fotografía de un terminal móvil en el que aparece la recepción de cuatro mensajes whatsapp en fechas 18/6/2014 y 20/6/2014. Los tres primeros están compuestos por emoticonos y el cuarto contiene el texto “Quién eres?”. - Escrito con entrada en fecha 25/7/2014 en el INSS, mediante el cual formula reclamación previa contra la resolución de 2014/3086 de dicho organismo. Señala la denunciante que al mecanizar la solicitud se ha introducido un importe erróneo. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. De la información y documentación aportada por el INSS se desprende:
2. a)Respecto al registro de accesos a los datos personales de la denunciante, constan únicamente dos accesos en fecha 9/7/2014 a las 12:15:35 y 12:16:04
3. b)La solicitud de prestación familiar por hijo a cargo fue presentada por la denunciante ante dicho organismo el día 9/7/2014. 2. Solicitada información al denunciado, éste manifiesta:
4. a)Respecto al origen del que obtuvo el número de teléfono de la denunciante, manifiesta que le fue facilitado personal y directamente en una de diversas conversaciones mantenidas conmigo en la vía pública al preguntarme por la prestación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 por hijo a cargo, bastante antes a que la denunciante hiciera acto de presencia en el CAISS, aunque no puede precisar la fecha. Respecto a los mensajes, el documento aportado por la denunciante, del que le ha sido facilitada copia, da fe de varios mensajes desde su móvil en el mes de junio del pasado año y la denunciante no visitó las oficinas en que fue atendida por mí hasta finales de junio o principios de julio.
5. c)En cualquier caso, si alguna persona del listado de teléfonos que cualquier persona guarda en el directorio o agenda negase que haber facilitó su número, por distintos motivos, ¿Cómo podría demostrarse lo contrario?
6. d)Respecto del motivo de los mensajes de WhatsApp, manifiesta que obedecen pura y simplemente a una relación de confianza con aquella persona fruto de varias conversaciones fuera del trabajo. El significado de los mismos es, según informa el denunciante: el primero, quiero desearle ánimo y buena cara para el día venidero, y el segundo, que ese fin de semana toca playa y paseo. 3. Solicitada información a la denunciante planteándole diversas cuestiones, consta acuse de recibo por la propia denunciante en fecha 29/5/2015, no habiéndose recibido respuesta trascurrido un mes desde su recepción. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
7. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La denunciante expone que solicitó una prestación familiar en la oficina del INSS de Montoro, Córdoba, y el funcionario que la atendió, D. A.A.A., una vez tomados los datos personales para mecanizarlos, no sólo hizo este trámite, si no se apropió indebidamente de mi número personal de móvil, para enviarla whatsapp. La LOPD en su artículo 4, recoge: “1. Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido. 2. Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos..” Dicho artículo 4.2 se inspira en el artículo 6. 1.
8. b)de la Directiva 95/46 / CE del Parlamento Europeo y del Consejo, de 24/10/1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de esos datos, que exige que los datos personales sean "recogidos con fines determinados, explícitos y legítimos, y no sean tratados posteriormente de manera C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 incompatible con dichos fines". En cuanto a la interpretación de la expresión "finalidades incompatibles" la SAN, Sec. 1ª, de 11/02/2004 (Rec.119/2002 ), que a su vez sigue el criterio de la de 8-2-2002 (rec.1067/2000 ), señala «En relación con la interpretación de la expresión finalidades incompatibles que establece el art 4.2 de la Ley Orgánica 15/1999 , esta Sala no puede compartir el criterio que postula el recurrente, pues aunque el artículo 4.2 de la Ley 5/1992 , ya no se refiere a "finalidades distintas", sino a "finalidades incompatibles", revelando una ampliación de la posibilidad de utilización de los datos, sin embargo la interpretación sistemática del precepto y la ambigüedad del término finalidades incompatibles avalan la interpretación realizada en el acto administrativo impugnado. En efecto, según el diccionario de la Real Academia "incompatibilidad" significa "repugnancia que tiene una cosa para unirse con otra, o de dos o más personas entre si", por tanto una interpretación literal ampararía el uso de los datos para cualquier fin abriendo una gama indefinida e ilimitada de finalidades, pues es muy difícil imaginar usos que produzcan la repugnancia que evoca la incompatibilidad, por lo que "semejante interpretación conduce al absurdo y como tal ha de rechazarse Teniendo en cuenta, además, que dicho término se introduce en la Ley de 1999, como ha declarado la doctrina, por una traducción poco precisa del artículo 6 de la Directiva 46/1995, de 24 de octubre." Conclusión igualmente avalada por la interpretación sistemática aludida, pues como señalábamos en la citada sentencia de febrero de 2002 , "semejante prescripción no puede ser entendida sino como un enunciado de carácter general, que no puede prevalecer sobre la regulación específica de una materia" citando al efecto el artículo 6 de la citada Ley , y añadiendo que la interpretación de dicho Art 6.2 , a sensu contrario, impone "que cuando los datos se usen con otra finalidad distinta se precisará el consentimiento del afectado". Y no parece que el Art 4.2 , venga a efectuar una ampliación sobre la posibilidad de utilización de los datos, porque ello supondría dejar sin contenido el Art 6.2, cuya redacción en este punto es igual a su homónimo de la Ley 5/92 » III En el presente caso, se han realizado diligencias previas al objeto de la comprobación de los hechos denunciados. La LOPD en su artículo 40 reconoce a la AEPD la “ potestad inspectora” y en su apartado 1, recoge: “ Las autoridades de control podrán inspeccionar...” El Reglamento 1720/2007 de 21/12, por el que se aprueba el Reglamento de desarrollo de la LOPD en su artículo 122 prevé:“ 1…., se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación...” y el R. D. 1398/1993, de 4/08, del Reglamento del Procedimiento para el ejercicio de la Potestad Sancionadora en su artículo 12 dispone lo siguiente: “ Con anterioridad a la iniciación del procedimiento, se podrán realizar actuaciones previas de investigación..” De acuerdo con la normativa citada corresponde al Director de la Agencia Española de Protección de Datos -AEPD- determinar si, a la vista de la denuncia formulada y de los elementos aportados en justificación de la misma, concurre causa justificativa que lleve a la realización de actuaciones previas de inspección, de suerte que en el presente caso, se realizaron dichas actuaciones previas con el resultado expuesto en el Hecho Segundo de la presente resolución. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 La inspección realizada en el INSS acredita que el registro de accesos a los datos personales de la denunciante constan únicamente dos accesos en fecha 9/7/2014 a las 12:15:35 y 12:16:04 y la solicitud de prestación familiar por hijo a cargo fue presentada por la denunciante ante dicho organismo el día 9/7/2014, es decir, dicha coincidencia lleva a colegir racionalmente que el tratamiento de los datos de la denunciante tuvo su fundamento en actuaciones derivadas de la solicitud de ayuda por prestación familiar ente dicho organismo . Por otra lado, la prueba facilitada por la denunciante, esto es fotografía de un terminal móvil en el que aparece la recepción de cuatro mensajes whatsapp en fechas 18/6/2014 y 20/6/2014, los tres primeros están compuestos por emoticonos y el cuarto contiene el texto “Quién eres”, son anteriores a la solicitud de ayuda el 9/07/2014, circunstancia que viene a confirmar la versión del denunciante, esto es que el denunciado conocía a la denunciante y que las llamadas en las fecha señaladas no son consecuencia del tratamiento del datos del nº de teléfono de la denunciante a consecuencia de la solicitud de ayuda por prestación familiar por hijo.. El procedimiento sancionador está basado en el principio de “contradicción” y, en el presente caso, de la prueba practicada no se puede concluir ni indiciariamente que el denunciado tratase el dato de la denunciante a consecuencia de la solicitud de ayuda por prestación familiar y que utilizó el dato del número de teléfono para una finalidad distinta para la que la denunciante la facilitó en su solicitud. Respecto al resto de alegaciones sobre las relaciones personales entre ambas partes no corresponde valorarlas a esta Agencia, Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución al INSTITUTO NACIONAL DE LA SEGURIDAD SOCIAL, D. A.A.A. y a Dª . B.B.B. . De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es