E-07735-2012

1/8 Expediente Nº: E/07735/2012 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad PARTIDO POPULAR (SEDE VIGO), en virtud de denuncia presentada ante la misma por D. A.A.A. y en virtud de los siguientes: HECHOS PRIMERO: Con fecha 4 de octubre de 2012 tuvo entrada en esta Agencia un escrito presentado por D. A.A.A. (en adelante el denunciante) en el que manifestaba que había recibido en su correo electrónico profesional una convocatoria a un acto electoral del PARTIDO POPULAR (en adelante entidad denunciada o PP) y que nunca había facilitado su correo profesional al remitente, añadiendo que en el correo recibido no había forma de solicitar la baja de la lista en la que su dirección de correo electrónico forma parte. Junto con su escrito de denuncia aportaba copia de la siguiente documentación: - DNI y - correo electrónico recibido con fecha 28 de septiembre de 2012, por parte de Partido Popular de Vigo (dirección sede@ppdevigo.com). En respuesta al escrito de subsanación de denuncia remitido por esta Agencia el 11 de diciembre de 2012 el denunciante envío un correo electrónico el 22 de enero de 2013 en el que reiteraba que “en ningún momento había solicitado el <<alta>>”, por lo que no había cursado solicitud de baja al respecto, informando a su vez de que, siguiendo las instrucciones facilitadas, no podía acceder a la información sobre “encabezados” del correo electrónico recibido. De igual modo, en fecha 7 de febrero de 2013 el denunciante remitió por correo electrónico a esta Agencia, como datos adjuntos, el correo electrónico insertado objeto de la denuncia. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicitó información a las entidades más abajo reseñadas. De este modo, en el informe de actuaciones previas de investigación E/07735/2012 se detalla lo siguiente: 1. <<El correo electrónico recibido por el denunciante fue remitido desde la cuenta de correo sede@ppdevigo.com el 28 de septiembre de 2012 y contenía una convocatoria para asistir a un encuentro con D. D.D.D., Consejero de Medio Ambiente, Territorio e Infraestructuras de la Xunta de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 Galicia. El correo fue recibido en la cuenta B.B.B.. El correo solicitaba confirmación de asistencia y proporcionaba para ellos dos teléfonos y la dirección origen del correo electrónico. 2. El dominio ppdevigo.com COMUNICACIONES, S.L consta registrado a nombre de INDI3 3. El 7 de febrero de 2013 el denunciante remitió un correo electrónico al subinspector actuante con el correo recibido insertado en él. Ello permitió acceder a las cabeceras del mismo y determinar que la dirección IP origen del mismo era la E.E.E.. 4. La dirección IP origen del correo electrónico corresponde a un servidor del que es titular INDI3 COMUNICACIONES, S.L. El servidor origen del correo electrónico estaba alquilado en la fecha de los hechos a la sociedad SOVERTIC, S.L. SOVERTIC, S.L. contrató con INDI3 COMUNICACIONES, S.L en nombre del PARTIDO POPULAR, la gestión del dominio ppdevigo.com. 5. El PARTIDO POPULAR contrató con SOVERTIC, S.L. el 15 de diciembre de 2011 la gestión del domino ppdevigo.com, el alojamiento de la web y las cuentas de correo del dominio y un servicio antispam. 6. En los registros de actividad del servidor de SOVERTIC, S.L. consta un envío realizado el 28 de septiembre de 2012 desde la cuenta sede@ppdevigo.com con destino a la cuenta C.C.C.. 7. La entidad financiera CAIXA NOVA se fusionó con otra entidad financiera denominada CAIXA GALICIA y dio lugar a una nueva entidad denominada NOVAGALICIA CAIXA. Cuando se dan este tipo de fusiones, es práctica común redirigir los correos electrónicos recibidos en una cuenta de los antiguos dominios (p.e. caixanova.com) a una cuenta del nuevo dominio, en este caso novagalicia.com. 8. El 3 de septiembre de 2013 se realizó una visita de inspección en la sede del PARTIDO POPULAR DE VIGO en la que se constataron los siguientes hechos: 8.1. El PARTIDO POPULAR tiene centralizado su fichero de afiliados y las personas autorizadas para ello en las diferentes agrupaciones territoriales acceden a él remotamente a través de Internet. 8.2. Consultados los datos de los ficheros de afiliados (histórico y actual), simpatizantes, empleados y proveedores a los que tiene acceso la agrupación del PARTIDO POPULAR de Vigo, los datos del denunciante no constan en ninguno de ellos. 8.3. Consultado la cuenta de correo sede@ppdevigo.com no se hallaron datos de envíos del envíos anteriores al 2 de octubre de 2012 ni de los envíos relativos a la campaña electoral de las elecciones autonómicas de 2012. Consultada la agenda de contactos de la cuenta de correo, no se hallaron los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 datos del denunciante. 8.4. Los representantes del PARTIDO POPULAR en Vigo manifestaron que: 8.4.1.Las convocatorias como la aportada en el escrito de denuncia únicamente se remiten a afiliados 8.4.2.El partido no tiene necesidad de buscar asistentes a actos como el descrito en la convocatoria. El aforo del acto (80 personas aprox.) y el elevado número de afiliados de la entidad en Vigo (aprox. 6.000) hacen que el problema sea seleccionar de entre quienes quieren asistir a quien podrá hacerlo y no el buscar asistentes. 8.4.3.Al solicitar el Subinspector actuante una explicación al envío acreditado del correo, los representantes del PARTIDO POPULAR en Vigo manifestaron que podría ser que alguno de los miembros del partido que conociese al denunciante y estimase que el tema pudiese ser de su interés hubiese solicitado su inclusión en ese envío en concreto>>. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La LOPD establece a su vez en el artículo 2.1, como ámbito de aplicación de dicha ley “a los datos de carácter personal registrado en soporte físico, que les haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados “. El artículo 3.
2. a)de la LOPD por su parte define los datos de carácter personal como: ”Cualquier información concerniente a personas físicas identificadas o identificables”. Añade el artículo 5.1.
3. g)del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD), que dato de carácter personal es “cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, susceptible de recogida, registro, tratamiento o transmisión concerniente a personas físicas identificadas o identificables.” Así, el artículo 3.
4. d)de la LOPD define al responsable del fichero o tratamiento como la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” Y el 3.
5. c)define el tratamiento de datos personales en los siguientes términos: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” En el presente caso, al tratarse de una dirección de correo electrónico procede analizar si se trata de un dato de carácter personal del denunciante. En relación con dicho asunto es criterio reiterado de esta Agencia, sostenido en numerosos informes (así, entre otros, los de fechas 11 de noviembre de 1999, 15 de noviembre de 2005 y 23 de junio de 2006 o el que cita la entidad imputada en sus alegaciones), el Servicio de Abogacía del Estado de la misma, que la dirección de correo electrónico de una persona puede ser, en su caso, considerada dato personal. A este respecto, de acuerdo con dichos informes: “..., debe indicarse que la dirección de correo electrónico se forma por un conjunto de signos o palabras libremente elegidos generalmente por su titular, con la única limitación de que dicha dirección no coincida con la correspondiente a otra persona. Esta combinación podrá tener significado en sí misma o carecer del mismo, pudiendo, incluso, en principio, coincidir con el nombre de otra persona distinta de la del titular. Por ello, podemos referirnos a dos supuestos esenciales de dirección de correo electrónico, atendiendo al grado de identificación que la misma realiza con el titular de la cuenta de correo:
6. a)El primero de ellos se refiere a aquellos supuestos en que voluntaria o involuntariamente la dirección de correo electrónico contenga información acerca de su titular, pudiendo esta información referirse tanto a su nombre y apellidos como a la empresa en que trabaja o su país de residencia (aparezcan o no éstos en la denominación del dominio utilizado). En este supuesto, no existe duda de que la dirección de correo electrónico identifica, incluso de forma directa al titular de la cuenta, por lo que en todo caso dicha dirección ha de ser considerada como dato personal. Ejemplos característicos de este supuesto serían aquéllos en los que se hace constar como dirección de correo electrónico el nombre y, en su caso, los apellidos del titular (o sus iniciales), correspondiéndole el dominio de primer nivel con el propio del país en que se lleva a cabo la actividad y el dominio de segundo nivel con la empresa en que se prestan los servicios (pudiendo incluso así delimitarse el centro de trabajo en que se realiza la prestación).
7. b)Un segundo supuesto sería aquel en que, en principio, la dirección de correo electrónico no parece mostrar datos relacionados con la persona titular de la cuenta (por referirse, por ejemplo, el código de correo a una denominación abstracta o una simple combinación alfanumérica sin significado alguno). En este caso, un primer examen de este dato podría hacer concluir que no nos encontramos ante un dato de carácter personal. Sin embargo, incluso en este supuesto, la dirección de correo electrónico aparecerá necesariamente referenciada a un dominio concreto, de tal forma que podrá procederse a la identificación del titular mediante la consulta del servidor en que se gestione dicho dominio, sin que ello pueda considerarse que lleve aparejado un esfuerzo desproporcionado por parte de quien procede a la identificación. Por todo ello se considera que también en este caso, y en aras a asegurar, en los términos establecidos por la Jurisprudencia de nuestro Tribunal Constitucional, la máxima garantía de los Derechos Fundamentales de las personas, entre los que se encuentra el derecho a la “privacidad”, consagrado por el artículo 18.4 de la Constitución, será necesario que la dirección de correo electrónico, en las circunstancias expuestas, se encuentre amparada por el régimen establecido en la LOPD”. Profundizando más en este asunto, la sentencia de la Audiencia Nacional de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 fecha 15 de enero de 2011 (R. 297/2010) dice que: “Siguiendo el orden expuesto en la demanda se va a analizar la primera cuestión referente a si la dirección de correo electrónico (…) registrada en los ficheros de la entidad y a la que se remitió el video en cuestión, constituye o no un dato de carácter personal. (…) En relación con la dirección de correo electrónico, esta Sala ha considerado en las SSAN, Sec. 1ª, de 23 de marzo 2006 (Rec. 911/2003) y de 25 de mayo de 2006 (Rec. 536/2004), que la dirección de correo electrónico de la que es titular una persona física, constituye una información que le concierne, que le afecta, y que forma parte del ámbito de su privacidad protegido por la Ley de Protección de Datos, siéndole plenamente aplicable su régimen jurídico”. En dichos procedimientos se argumentaba que en los supuestos a los que se referían la dirección de correo electrónico no recogía el nombre y apellidos de su titular y no tenía vinculación con su identidad, por lo que no debería considerarse como dato de carácter personal, pero ello fue desestimado por las citadas sentencias. En concreto, la SAN de 25 de mayo de 2006 especificaba que la dirección de correo electrónico de que es titular una persona física constituye un dato personal porque “con independencia de que la denominación de la dirección corresponda o no con el nombre y apellido de su titular, país o empresa en la que trabaja, lo cierto es que se puede mediante una operación nada difícil, identificar perfectamente a una persona física, ya que esa dirección de correo electrónico aparecerá vinculada a un dominio concreto, por lo que sólo será necesario consultar al servidor en que se gestione dicho servicio. Es más esta Sala, en un caso como el número del Documento Nacional de Identidad, que en principio no tiene aparente relación externa con el nombre y apellido de su titular, ha entendido que es un dato de carácter personal amparado por la LOPD en la sentencia de 27 de octubre de 2004 (Rec. 1112/2002)”. En principio, habría que considerara que la dirección de correo electrónico del denunciante es por tanto un dato de carácter personal. III El artículo 6.1 de la LOPD, por consiguiente, dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Antes de continuar, no debe olvidarse que, “aunque los partidos políticos no son órganos constitucionales sino entes privados de base asociativa, forman parte esencial de la arquitectura constitucional, realizan funciones de una importancia constitucional primaria y disponen de una segunda naturaleza que la doctrina suele resumir con referencias reiteradas a su relevancia constitucional y a la garantía institucional de los mismos por parte de la Constitución” (Exposición de Motivos de la Ley Orgánica 6/2002, de 27 de junio, de Partidos Políticos). El Tribunal Constitucional ha venido a decir que los partidos políticos concurren “a la formación y manifestación de la voluntad popular” (STC 10/1983, de 21 de febrero); dado que como dice en la Sentencia de fecha 2 de febrero de 1981: “En el caso de los partidos, que es el que aquí interesa, tal relevancia viene justificada par la importancia decisiva que esas organizaciones tienen en las modernas democracias pluraIistas, de forma que se ha podido afirmar por algunos Tribunales extranjeros que «hoy día todo Estado democrático es un Estado de partidos» o que éstos son «órganos casi públicos», o conceptos similares. También se encuentran opiniones análogas en amplios sectores de la doctrina”; lo que vendría a “justificar un régimen jurídico peculiar de los partidos políticos; el que éstos, por razones de la cierta función pública que tienen en las modernas democracias, gozan legalmente de determinados privilegios que han de tener como lógica contrapartida determinadas limitaciones no aplicables a las asociaciones en general” (STC 3/1981, de 2 de febrero). En el presente caso, se realizó una visita de inspección en la sede del PARTIDO POPULAR de Vigo en la que se constató que el PARTIDO POPULAR tiene centralizado su fichero de afiliados y las personas autorizadas para ello en las diferentes agrupaciones territoriales acceden a él remotamente a través de Internet; por lo que, consultados los datos de los ficheros de afiliados (histórico y actual), simpatizantes, empleados y proveedores a los que tenía acceso la agrupación del PARTIDO POPULAR de Vigo, los datos del denunciante no constaban en ninguno de ellos. Asimismo, consultada la cuenta de correo sede@ppdevigo.com no se hallaron datos de envíos anteriores al 2 de octubre de 2012 ni de envíos relativos a la campaña electoral de las elecciones autonómicas de 2012. De la misma manera, consultada la agenda de contactos de la cuenta de correo, no se hallaron los datos del denunciante. Por ello, al solicitar la Inspección de Datos de esta Agencia, una explicación al envío del correo electrónico en cuestión, los representantes del PARTIDO POPULAR en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 Vigo manifestaron que podría ser que alguno de los miembros del partido que conociese al denunciante, y estimase que el tema pudiese ser de su interés, hubiese solicitado su inclusión en ese envío en concreto. Por todo lo expuesto, concluir que los artículos 24.2 de la Constitución Española y 137 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, reconocen el derecho a la presunción de inocencia en el ámbito del procedimiento administrativo sancionador. Su contenido esencial implica no sólo la acreditación de los hechos ilícitos, sino también “...la prueba de la responsabilidad del sujeto en la comisión de los mismos” (sentencia del Tribunal Supremo de 2 de julio de 1990). La presunción de inocencia debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, pues el ejercicio del ius punendi en sus diversas manifestaciones está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el Tribunal Constitucional en su Sentencia 76/1990 de 26 de abril considera que el derecho a la presunción de inocencia comporta: “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio.” Conforme señala el Tribunal Supremo (STS 26/10/98) el derecho a la presunción de inocencia “no se opone a que la convicción judicial en un proceso pueda formarse sobre la base de una prueba indiciaria, pero para que esta prueba pueda desvirtuar dicha presunción debe satisfacer las siguientes exigencias constitucionales: los indicios han de estar plenamente probados – no puede tratarse de meras sospechas – y tiene que explicitar el razonamiento en virtud del cual, partiendo de los indicios probados, ha llegado a la conclusión de que el imputado realizó la conducta infractora, pues, de otro modo, ni la subsunción estaría fundada en Derecho ni habría manera de determinar si el proceso deductivo es arbitrario, irracional o absurdo, es decir, si se ha vulnerado el derecho a la presunción de inocencia al estimar que la actividad probatoria pueda entenderse de cargo.” Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER al ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a PARTIDO POPULAR (SEDE VIGO) y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es