E-07930-2014

1/7 Expediente Nº: E/07930/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante D. A.A.A. y la entidad OCIOCRÍTICO, S.L., en virtud de la denuncia presentada por D. B.B.B. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 28 de octubre de 2014, tuvo entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. B.B.B. (en lo sucesivo, el denunciante) en el que manifiesta haber recibido en su dirección electrónica (...@.....) un correo de “un medio digital” solicitando su colaboración para “dotar de contenido a dicho medio”, pese a que ni sus datos de contacto estaban registrados en la empresa de comunicación ni había autorizado su tratamiento para tal fin, conducta de la que responsabiliza a D. A.A.A. y a la empresa titular de la página http://....DIARIOCRITICO.ES Se acompaña a la denuncia copia del mail enviado el 17/10/2014 desde la dirección ....diariocriticocyl@......... a la dirección electrónica del denunciante (...@.....); del enviado por él en fecha 20/10/2014 a la dirección remitente del correo y de la respuesta que recibió el 21/10/2014 de la que se aportan, además, las cabeceras. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos realizó actuaciones encaminadas al esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que constan en el Informe de Actuaciones Previas de Inspección que se reproduce: <<ANTECEDENTES Con fecha de 28 de octubre de 2014 tiene entrada en esta Agencia a través de su sede electrónica una denuncia de B.B.B., en adelante el denunciante, en el que manifiesta lo siguiente: 1. El 17 de abril de 2014 recibe en su dirección de correo ...@.... un correo electrónico de un medio de comunicación digital solicitando su colaboración a fin de dar más contenido a dicho medio. 2. En ningún momento se ha registrado como usuario en dicho medio ni ha autorizado el uso de su dirección de correo electrónico para ningún fin. 3. Puesto en contacto con la persona que remite el correo electrónico le comunica que no consiente que sus datos personales sean tratados con fines de promoción y publicidad y revoca cualquier consentimiento que implícita o explícitamente hubiera podido prestar para la cesión de sus datos. Se le responde que su solicitud no es de aplicación ya que el diario no vende productos ni servicios. La denuncia aporta copia de los correos electrónicos citados y las cabeceras completas del último de ellos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 El 15 de enero de 2015 se recibe un escrito del denunciante en el que además de aportar copia de Sus DNI, manifiesta que: 4. No le consta la existencia de una relación de nombres y apellidos en la Junta de Castilla y León. 5. En la página web de la ###### figuran los datos correspondientes a su nombre, apellidos, correo electrónico y unidad en la que trabaja, si bien para acceder a esa información hay que introducir al menos un dato de los que se solicitan. Sus datos sólo aparecen si se introduce su correo electrónico y unidad en la que trabaja ya que al contener su segundo apellido una letra ñ, si se introduce éste él no aparece en el listado ACTUACIONES PREVIAS 1. El correo recibido por el denunciante el 21 de octubre de 2014 va dirigido a la cuenta ...@...., incluye como descripción su nombre y apellidos y tiene como origen la dirección ....diariocriticocyl@.......... El objeto del correo es ofrecerse para recibir cuantas informaciones consideren de interés para que sean publicadas en la edición de Castilla y León del diario Diariocritico. El correo electrónico viene firmado por “C.C.C.”. 2. El 18 de mayo de 2015 el subinspector actuante accede a la versión electrónica del directorio de personal de la ###### y realiza una búsqueda utilizando como criterio los apellidos “***APELLIDOS.1”. El buscador devuelve cuatro resultados el primero de los cuales coinciden con el denunciante e incluye su nombre, apellidos, puesto de trabajo, extensión de teléfono y la dirección de correo electrónico en la que se recibió el correo electrónico. 3. El mismo día 18 se realiza una búsqueda en el buscador Google utilizando como criterio las palabras “B.B.B.”. El primero de los resultados lleva a una página del sitio web del Servicio de XXXX de la ###### en la que se muestra un directorio donde, entre otros, aparecen el nombre, apellidos y dirección de correo del denunciante, como parte de la unidad de “XXXXXXX”. 4. El Subinspector comprueba que al buscar “######” en el buscador Google el primer enlace de la lista de resultados lleva a la página principal de la universidad en cuestión y que desde esta, pulsando en el enlace denominado “***ENLACE.1”, se llega la página del Servicio de XXXX de la Universidad, en la que a su vez consta el enlace que lleva al Directorio citado en el punto anterior. 5. OCIOCRITICO SL manifiesta no ser responsable ni usuaria del dominio lanubegris.com y no haber tratado nunca la dirección del denunciante. 6. En respuesta a la solicitud de información remitida por el subinspector actuante, A.A.A. remite un escrito en el que manifiesta que: 6.1. C.C.C. era un pseudónimo que utilizó durante el tiempo que colaboró en sus colaboraciones con el medio digital “Diariocritico”. 6.2. La dirección de correo electrónico del denunciante es una dirección pública que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 obtuvo de un directorio electrónico de la ###### y aparece en otros directorios publicados por instituciones públicas como la Junta de Castilla y León. Entiendo que ello no lo faculta para enviar cualquier tipo de correo electrónico, pero sí aquellos relacionados con el cargo que ocupa en la ######. 6.3. No dispone de otros datos que los proporcionados en el citado directorio. 1.http.//........1 2.http.//......... 3.www.........2 4. El mismo directorio que el citado en el punto 3 >> FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II Debemos señalar, en primer término, toda vez que el denunciante expuso en su denuncia que no consentía que sus datos fueran tratados con fines de promoción y publicidad, que no son aplicables al presente caso las disposiciones contenidas en el Título III, “Comunicaciones comerciales por vía electrónica”, de la Ley 34/2002, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI). La razón es que el correo electrónico que el denunciante recibió el 17/10/2014 y que ha dado origen a la denuncia no tiene carácter de “comunicación comercial”, tal y como ésta se define en el Anexo de la LSSI. El citado Anexo, bajo la rúbrica “Definiciones”, recoge en su apartado
2. f)el concepto legal de “Comunicación comercial” y alude a ella como “toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica.” (El subrayado es de la AEPD) En el presente caso el correo enviado por los denunciados a la dirección ...@.... no tenía finalidad comercial, por lo que está excluido del ámbito de aplicación de la LSSI. Corresponde por ello examinar si tal conducta pudiera ser constitutiva de una infracción de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 A este respecto el artículo 6.1 de la LOPD recoge el principio del consentimiento, conforme al cual “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa.” Se añade a lo anterior que el denunciante ha manifestado que no facilitó sus datos de contacto (en este caso, la dirección electrónica) a los denunciados, que no se había registrado en el medio de comunicación on line denunciado, ni había consentido de ningún otro modo el tratamiento de la dirección de correo. Ahora bien, es imprescindible incidir en diversas cuestiones relevantes a los efectos que nos ocupan. Una de ellas, que la dirección electrónica en la que el denunciante recibió el mail que ha dado origen a esta denuncia es ...@.... , dirección corporativa cuyo titular lo es únicamente por su condición de miembro del personal de la ######. Es significativo también que las actuaciones practicadas por la Inspección de Datos de la AEPD acreditaran que si se accede al buscador de internet google con el nombre y apellidos del denunciante la primera búsqueda que aparece corresponde a “SICPD-directorio” y en ella constan varios nombres y direcciones electrónicas, entre ellos el nombre y apellidos del denunciante y la dirección electrónica ...@...., destinataria del correo electrónico que se denuncia. Especialmente relevante es el hecho de que la Inspección de Datos haya constatado que si se realiza una búsqueda en google por “######” el primer enlace de la lista de resultados lleva a la página principal de la universidad en cuestión y que desde ésta, pulsando en el enlace denominado “***ENLACE.1”, se llega la página del Servicio de XXXX de la Universidad, en la que a su vez figura un enlace al Directorio donde en el apartado “Gestión”, sub apartado “XXXXXXX” se encuentra el nombre y dos apellidos del denunciante y la dirección ...@.... . Este último extremo guarda relación y confirma lo declarado por el denunciado, A.A.A. (en adelante, A.A.A.) a preguntas de la Inspección de la AEPD acerca del origen de la dirección electrónica destinataria del mail enviado el 17/10/2014. El denunciante contestó que figura en el Directorio de la ###### (página web http://..........) y que ese Directorio se recoge en otros directorios difundidos por instituciones públicas, como la Junta de Castilla y León. Añadió que no tiene más referencias del denunciante que la pertenencia al Departamento de XXXXXXX de la citada Universidad. Otro de los aspectos dignos de mención es la finalidad perseguida por el mail que el denunciante recibió el 17/10/2014 en la dirección ...@..... Finalidad que se desprende de la simple lectura del mensaje recibido que pasamos a reproducir: <<Soy C.C.C., de Diariocritico Castilla y León (http://......dirairo ciritoco.com/) Diariocritico Castilla y León pretende renovar y dar impulso a este medio digital potenciando la información de todas las provincias de Castilla y León. Para ello en breve implantaremos pestañas individualizadas para cada una de las 9 provincias de la región. Por ello, nos ponemos en contacto con ustedes para ponernos a su disposición C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 para cuantas informaciones deseen enviarnos, intentando darles cabida en la medida de lo posible. Nuestra intención, en consonancia con el propósito aludido de potenciar la expansión regional de este medio, es contar con periodistas y delegados en cada una de las provincias (…) Mientras se perfila y consolida esta infraestructura humana, seré yo quien reciba la información que tengan a bien enviar (…)>> (El subrayado es de la AEPD) Del texto se infiere que el emisor del mensaje pretende dirigirse a la ###### y no a una persona física en particular y que su intención es recabar información institucional de esa entidad. Concluimos de cuanto antecede que el dato de la dirección electrónica ...@.... sobre el que versa la presente denuncia fue objeto de tratamiento por los denunciados tan solo por la condición de profesional que presta sus servicios en el departamento de XXXXXXX de la Universidad del titular de dicho dato, el denunciante; que el mensaje enviado estaba relacionado única y exclusivamente con la actividad de esa entidad -pues a través de él se pretendía establecer un cauce de comunicación para que la Universidad facilitara información institucional que aparecería publicada en un diario regional- y que la dirección electrónica destinataria del mensaje era accesible a través de una página de la propia Universidad (SICPD), acudiendo al Directorio y en él al apartado “Gestión” sub apartado “Gestión Económica y Administrativa”. III La LOPD se ocupa en el artículo 2 del “Ámbito objetivo de aplicación” y en su apartado 1 circunscribe su ámbito de aplicación a “los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores público y privado”. (El subrayado es de la AEPD) A su vez, el artículo 3
3. a)de la LOPD define el dato personal como “Cualquier información concerniente a personas físicas identificadas o identificables”. En el mismo sentido el Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007 establece en su artículo 2: “1. El presente reglamento será de aplicación a los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado. 2. Este reglamento no será aplicable a los tratamientos de datos referidos a personas jurídicas, ni a los ficheros que se limiten a incorporar los datos de las personas físicas que presten sus servicios en aquéllas, consistentes únicamente en su nombre y apellidos, las funciones o puestos desempeñados, así como la dirección postal o electrónica, teléfono y número de fax profesionales. 3. Asimismo, los datos relativos a empresarios individuales, cuando hagan referencia a ellos en su calidad de comerciantes, industriales o navieros, también se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 entenderán excluidos del régimen de aplicación de la protección de datos de carácter personal. (…) (El subrayado es de la AEPD) De conformidad con el artículo 2.2 del RLOPD se excluye de la titularidad del derecho fundamental a la protección de datos de carácter personal a las personas físicas que prestan sus servicios para una persona jurídica cuando el tratamiento verse sobre su nombre y apellidos, funciones desempeñadas, dirección postal o electrónica y el tratamiento esté vinculado exclusivamente a la organización empresarial o Administración Pública en la que la persona física presta sus servicios. Son los denominados “ficheros de contacto” o “agenda” vinculados con la actividad desarrollada por los afectados. En definitiva, a tenor del artículo 2.2 del RLOPD está excluidos del ámbito de aplicación de la normativa de protección de datos el tratamiento que tenga por objeto los datos de las personas físicas en su condición de cargos, administradores o representantes de una empresa o institución y que verse sobre los nombres y apellidos, funciones o puestos que desempeñan, direcciones postales o electrónicas y teléfono o fax profesionales. Tomando en consideración las reflexiones precedentes, así como las particulares circunstancias que concurren, dado que, como ya hemos señalado, en la dirección electrónica objeto de tratamiento, ...@.... , la inclusión de los datos personales del denunciante es meramente accesoria respecto a la finalidad primordial perseguida por quienes trataron ese dato -finalidad que no era sino la de contactar con la institución en la que el denunciante presta sus servicios, la ######- y el tratamiento se realizó en el marco de la actividad institucional de la organización en la que el denunciante presta sus servicios, se estima que la citada dirección electrónica (...@....) queda excluida del ámbito objetivo de aplicación de la normativa de protección de datos, sin que se aprecie en la conducta que se somete a la valoración de este organismo infracción de la LOPD y normas de desarrollo, debiendo acordar el archivo de las presentes actuaciones de investigación previa. Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a D. A.A.A., a OCIOCRITICO, S.L. y a D. B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es