PS-00286-2017

1/20 Procedimiento Nº PS/00286/2017 RESOLUCIÓN: R/03077/2017 En el procedimiento sancionador PS/00286/2017, instruido por la Agencia Española de Protección de Datos a la entidad CAJAMAR, Caja Rural, Sociedad Cooperativa de Crédito, vista la denuncia presentada por Dña. D.D.D., y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 17 de enero de 2017 se registra de entrada en esta Agencia escrito de Dña. D.D.D. (en lo sucesivo, la denunciante), poniendo de manifiesto que empleados de la sucursal de CAJAMAR, Caja Rural, Sociedad Cooperativa de Crédito, (en lo sucesivo la denunciada o CAJAMAR), donde ella mantiene abierta una cuenta, han comunicado datos de salud de su persona al Servicio Jurídico de la entidad, con motivo de una solicitud realizada por la misma ante dicho servicio. La información fue remitida por correo electrónico sin consentimiento de la interesada. La denunciante adjunta copia de la siguiente documentación: - Tres escritos enviados entre el 19 de octubre de 2015 y el 16 de diciembre de 2016 por la denunciante a la denunciada solicitando información relacionada con una serie de operaciones efectuadas, vía telemática, en unas cuentas abiertas en la oficina 82 de la entidad denunciada, de las que la afectada es cotitular. - Un escrito de queja remitido con fecha 13 de enero de 2016 por la denunciante a la denunciada con motivo de la falta de respuesta a la información interesada en el ejercicio de sus derechos como cliente de la entidad. - Tres correos electrónicos fechados el 20 de octubre de 2015 remitidos entre el Staff Jurídico Consultoría y Contratación de la denunciada y Don C.C.C., (en adelante C.C.C.), empleado de la oficina 082 de esa misma entidad, referentes al modo de obtener y facilitar la información solicitada por la denunciante. En el último párrafo del correo enviado a las 13:56 horas por dicho empleado a la reseñada unidad se afirma sobre la cliente solicitante de la información: “Comentarte que esta mujer en los 2 últimos meses nos ha solicitado 3 ó 4 las claves de acceso y la tarjeta de claves porque dice perderlas o que las tiene su abogada, comentarte que al parecer tiene un trastorno de bipolaridad del que se trata.” - Escrito de fecha 18 de febrero de 2016 suscrito por la denunciante en el que consta que recogió de la denunciada la documentación solicitada el 13 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/20 enero de 2016, y en el que la afectada, junto a su firma ológrafa, anotó “Recojo documentación y revisar en el domicilio para saber si está completa.” - Un escrito de fecha 19 de febrero de 2016 en el que la denunciante señalaba a la denunciada que entre la documentación recibida, el día anterior, de esa entidad se encontraban unos correos electrónicos intercambiados entre el servicio jurídico de la entidad y el mencionado empleado de la oficina 82, quien en el correo de fecha 20 de octubre de 2015 no sólo comunicaba a su interlocutor una información relativa al número de veces en que la afectada había solicitado las claves de acceso y la tarjeta de claves en los dos últimos meses, incierta según la denunciante, sino que, además, comentaba al destinatario del correo en relación con la denunciante que “al parecer tiene un trastorno de bipolaridad del que se trata”. A la vista de ese comentario, la denunciante solicitaba a CAJAMAR se requiriese a dicho empleado “para que manifieste que documentación médica de la dicente ha visto o ha manejado para hacer tal adveración o, en su defecto quien le ha informado y por qué conducto de datos de carácter personal de quien suscribe y, en su caso, si cuenta con autorización de la firmante de este escrito para que pueda hacer uso de información tan confidencial y privada en un correo electrónico dirigido a un tercero, y si esa misma conducta la ha tenido con otras personas. Una vez realizadas las averiguaciones oportunas, ruego me informen sobre lo solicitado, a fin de valorar el ejercicio de las acciones que a mi derecho correspondan por vulneración a mi derecho constitucional al honor e intimidad.” SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a CAJAMAR, Caja Rural, Sociedad Cooperativa de Crédito, teniendo entrada en esta Agencia con fecha 27 de marzo de 2017 escrito de contestación de la misma, en el que se pone de manifiesto que:

1. a)La entidad no cuenta con datos de salud de la denunciante;
2. b)La información que aparece en el correo electrónico, entregado a la denunciante por error, fue un comentario desafortunado de un empleado de la entidad, resultado de su trato previo en aquellos días con la cliente. TERCERO: Con fecha 26 de junio de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a CAJAMAR, Caja Rural, Sociedad Cooperativa de Crédito, por presunta infracción del artículo 7.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, (en lo sucesivo LOPD), tipificada como muy grave en el artículo 44.4.
3. b)de dicha norma. Notificado con fecha 3 de julio de 2017 dicho acuerdo a la citada entidad, y en contestación a la solicitud de CAJAMAR, con fecha 12 de julio de 2017 se acuerda ampliar en cinco días el plazo que inicialmente le fue concedido a esa entidad para formular alegaciones y a remitirle copia de los documentos obrantes en el procedimiento sancionador a esa fecha (folios 1 al 34). CUARTO: Con fecha 21 de julio de 2017 CAJAMAR formula escrito de alegaciones solicitando el archivo de las actuaciones practicadas argumentando, en síntesis, que: - C/ Jorge Juan, 6 28001 – Madrid Inexistencia de Dato: La entidad no ha podido vulnerar la normativa de protección de datos al no haber obtenido de la denunciante o de terceros ni www.agpd.es sedeagpd.gob.es 3/20 haber tratado nunca ni cedido datos de salud de la misma. La propia denunciante con su denuncia y la AEPD con el traslado de la misma serían las que estarían dando visos de realidad y comunicando a un tercero (CAJAMAR) el dato de salud que afectaría a la denunciante, y que de suceder o haber sucedido sería o habría sido completamente ajeno y desconocido para la denunciada. El comentario que obra en el correo electrónico aportado por la denunciante es una mera y desafortunada conjetura de un empleado de la entidad del que no puede responsabilizarse a CAJAMAR. - Inexistencia de tratamiento e inexistencia de un fichero. De persistirse en que el correo contiene un dato de salud, se mantiene que no cabe “decir, que además, es un dato susceptible de tratamiento ni que, de hecho, haya habido un tratamiento de ese dato por el mero hecho de haber escrito esas palabras un empleado en un correo y haberlo enviado a su destinatario, otro empleado de la misma empresa, por lo que tampoco habría habido en ningún caso cesión o comunicación a un tercero.” Añade que conforme a lo dispuesto en los artículos 2.1 y 3.c de la LOPD, la Audiencia Nacional en sus Sentencias de fechas 16/02/2016 y 18/12/2016 ha precisado que para que la LOPD despliegue sus efectos es necesario que el tratamiento se realice de forma automatiza o bien, si se efectúa de forma manual, que los datos personales estén contenidos o destinados a un fichero. En este caso, no sólo no hay dato ni tratamiento, sino que tampoco hay fichero, puesto que el fichero de clientes de la entidad no incluye datos de salud y el supuesto dato ha quedado exclusivamente reflejado en un correo electrónico que no es accesible ni vinculable a la afectada. QUINTO: Con fecha 28 de julio de 2017 se inicia período de práctica de pruebas, acordándose practicar las siguientes pruebas: 5.1 Incorporar al procedimiento la documentación recabada en las actuaciones previas de inspección que forman parte del expediente E/00981/2017. Dar por reproducidas, a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento PS/00286/2017 presentadas por la denunciada. 5.2 Requerir a CAJAMAR que aporte la información y/o documentación siguiente: - Presentación de documentación acreditativa de los datos de carácter personal de la denunciante que figuran en los ficheros de esa entidad, en especial de aquellos datos de carácter personal relacionados con la salud de la afectada. - Aclaración de si la denunciante ha presentado ante esa entidad o facilitado información o documentación de la que se desprenda la afirmación realizada por el empleado de esa mercantil en correo electrónico de fecha 20/10/2015, referente a que la denunciante “al parecer tiene un trastorno de bipolaridad del que se trata”, en cuyo caso se remitirá copia de la misma. - Especificación del origen exacto de la información vertida en dicho correo electrónico referida al mencionado dato de carácter personal de la salud de la afectada, cliente de esa empresa. - Presentación de declaración testifical de Don C.C.C., empleado de esa entidad que suscribió el citado correo electrónico, en la que éste especifique C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/20 el origen y las circunstancias concretas en las que tuvo conocimiento o accedió a la información relativa al dato de carácter personal relacionado con la salud de la afectada y con el seguimiento de tratamiento por ésta debido a la patología indicada, haciendo constar también la causa por la que comunicó tal información en el correo remitido con fecha 20/10/ 2015 a los Servicios Jurídicos de esa entidad. - Especificación de las fechas exactas en que se dictaron las dos Sentencias de la Audiencia Nacional que figuran en el escrito de alegaciones y facilitación de la referencia completa de las mismas a los efectos de su localización (órgano y sala, nº de recurso) e incorporación al procedimiento. Se observa que el día 18/12/2016 indicado era domingo. Dicha información podrá sustituirse por aportación de copia de las dos sentencias invocadas. Dentro del citado período de práctica de pruebas, con fecha 31 de julio de 2017 se acuerda requerir a la denunciante para que aporte la información siguiente: - Indicación de si en algún momento ha manifestado a alguna persona vinculada a CAJAMAR que padecía y se trataba de la patología a la que se refiere el correo electrónico de fecha 20 de octubre de 2015 remitido por Don C.C.C., a los servicios jurídicos de esa entidad. - En su caso, indicación de si en algún momento ha presentado ante la entidad denunciada documentación que contuviera información de la que se desprendiera que padecía y se trataba de la patología a la que se refiere el citado correo electrónico de fecha 20 de octubre de 2015. - Especificación de cualquier circunstancia que justifique el acceso y tratamiento de esa información por parte de la entidad financiera denunciada. SEXTO: Con fecha 11 de agosto de 2017 se registra de entrada escrito de contestación de CAJAMAR a las pruebas cuya práctica le fue requerida manifestando que: Tal y como se ponía de manifiesto en sus escritos anteriores en sus ficheros no figura ningún dato relacionado con la salud de la afectada, como acredita la documentación que adjuntan relativa a los datos que figuran en los mismos. Añade que en dichos escritos manifestaron que la denunciante no había presentado o facilitado información o documentación ante esa entidad de la que se desprendiese la afirmación realizada por el empleado en el correo electrónico de fecha 20/10/2015, respecto de cuyo origen señalan que en los referidos escritos también se indicaba que se trató de una mera y desafortunada e innecesaria conjetura del empleado, resultado de su trato previo en aquellos días con la afectada. La imposibilidad de presentar la declaración solicitada por estar de baja el empleado, lo que acreditan mediante certificado adjuntado emitido por Fraternidad-Muprespa el día 08708/2017. Asimismo, aporta copia de las dos sentencias referidas en sus alegaciones, señalando que por error se indicó que eran del año 2016 cuando se dictaron en el año 2006. Con fecha 14 de agosto de 2017 se registra de entrada escrito de contestación de la denunciante a las pruebas cuya práctica le fue requerida, en el que manifiesta que:
4. a)En ningún momento manifestó a persona vinculada a la entidad denunciada cuestión alguna referente a su estado de salud o a circunstancias propias de su esfera C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/20 personal e íntima;
5. b)Tampoco ha presentado documentación médica ni información confidencial a dicha entidad para que pueda ser utilizada por la misma con el fin de no facilitar la información de las cuentas bancarias;
6. c)La denunciante señala que “Consta a quien suscribe, que el exmarido de la dicente, se personó en la Oficina 0082 de Cajamar, cuando se iniciaron los trámites de divorcio contencioso y exhibió a la dirección de la misma un informe médico de la dicente, de 8/04/2014, al tiempo que solicitó que no se facilitará a la dicente información de las cuentas bancarias, motivo por el que tuvo de solicitarse, formalmente, a través de la Asesoría Consultoría de la entidad y de ahí los correos cruzados entre el Staff Jurídico Consultoría y contratación con el empleado de la Oficina.” SÉPTIMO: Con fecha 30 de octubre de 2017 la Instructora del Procedimiento formuló propuesta de resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancionase a CAJAMAR, Caja Rural, Sociedad Cooperativa de Crédito, con multa de 40.001 € (cuarenta mil un euros) por la comisión de una infracción del artículo 7.3 de la LOPD, tipificada como muy grave en el artículo 44.4.
7. b)de dicha Ley, de conformidad con lo establecido en los apartados 3, 4 y 5 del artículo 45 de la citada Ley Orgánica, que se notificó a dicha entidad con fecha 31 de octubre de 2017. OCTAVO: Con posterioridad a que con fecha 13 de noviembre de 2017 CAJAMAR recibiese copia de la documentación obrante en el procedimiento, dicha entidad formula escrito de alegaciones a la propuesta de resolución reiterándose en los argumentos expuestos durante la tramitación del procedimiento sobre la inaplicabilidad de la LOPD al supuesto estudiado, los cuales refuerza en contestación a lo señalado en la propuesta de resolución del siguiente modo: - Conforme a lo dispuesto en los artículos 3.
8. a)y 7.3 de la LOPD y 5.a.
9. f)del RDLOP no cabe otorgar la categoría de dato de carácter personal a una conjetura innecesaria, fruto de observaciones subjetivas y carentes de soporte probatorio, efectuada por un empleado de banca durante el intercambio de correos electrónicos realizados con otro empleado de la entidad para contestar las solicitudes de la denunciante. Por lo que se niega que dichos correos contuvieran información sobre la salud de la denunciante, especialmente cuando del contenido íntegro del correo de B.B.B. se desprende que la alusión que realiza a “problemas de salud” no es una interpretación de este empleado, sino una contestación a una afirmación del otro empleado no acreditada. Se adjunta declaración firmada del citado empleado C.C.C., una vez reincorporado a su puesto de trabajo en la oficina ***LOCALIDAD.1, manifestando: “Que nunca he conocido ni accedido ni tenido acceso ni solicitado ni nadie me ha contado ni mostrado ningún dato ni información de ningún tipo sobre el estado de salud de Dña. D.D.D.. Que mi comentario sobre dicha señora efectuado en mi correo de fecha 20/10/2015 a los Servicios Jurídicos de Cajamar Caja Rural fue producto de una mera y desafortunada apreciación personal por mi parte, una simple suposición no basada en ninguna información médica ni de ningún otro tipo obtenida ni de la Sra. D.D.D. ni de ningún tercero, sino derivada solo de mi relación con ella en aquellos días, relación que siempre ha sido estricta y exclusivamente profesional y circunscrita al desempeño de mis funciones.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/20 Se insiste en que como consecuencia de la inexistencia del dato de salud no ha habido tratamiento alguno, ni manual ni automatizado, ni recogida de dicha información en ningún fichero, por lo que “no hay ningún origen que aclarar de algo que nunca ha existido”. En contra de lo afirmado en la propuesta de resolución, CAJAMAR discrepa en que el supuesto de hecho ahora analizado pueda extrapolarse al asunto C-101/01 del Tribunal de Justicia de la Unión Europea, toda vez que, si se diera por buena la existencia del dato, no se habría producido una transmisión del mismo a través de Internet a terceros, ya que en este caso los correos se cruzan entre dos empleados de CAJAMAR. Rechaza que pueda hablarse de un “fichero estructurado y automatizado”, puesto que el comentario que nos ocupa dentro del correo electrónico no es susceptible de tratamiento, ni automatizado ni manual, resultando material y técnicamente imposible vincular dicho comentario a los datos de la denunciante que obran en los ficheros de la entidad. Se reafirma en que resultan aplicables las sentencias de la Audiencia Nacional invocadas en sus alegaciones de fecha 21/07/2017. No comparte la afirmación vertida en el Fundamento de Derecho VII respecto de la falta de diligencia mostrada, ya que no cabe esperar que tenga procedimientos de control que impidan que un empleado vierta en un correo electrónico a otro un determinado comentario, independientemente de que sea, o no , dato de carácter personal. HECHOS PROBADOS PRIMERO: Con fecha 17 de enero de 2017 tiene entrada en la AEPD denuncia formulada por Dña. D.D.D., (la denunciante), poniendo de manifiesto que a raíz de la recepción de diversa documentación que le fue proporcionada desde la oficina 082 de CAJAMAR, Caja Rural, Sociedad Cooperativa de Crédito, (CAJAMAR), con fecha 18 de febrero de 2016, en contestación a las solicitudes de información que había dirigido a dicha entidad respecto de determinadas operaciones que se habían efectuado, vía telemática, en cuentas bancarias de CAJAMAR de las que es cotitular, tuvo conocimiento de que durante la tramitación de esas peticiones se trataron, vía correo electrónico, datos personales de salud relativos a su persona por parte de un empleado de la citada oficina. (folios 1 al 16) SEGUNDO: La denunciante presentó entre el 19 de octubre de 2015 y el 16 de diciembre de 2016 ante la “Asesoría Consultoría” de CAJAMAR tres escritos solicitando la información relacionada con las operaciones descritas en hecho probado anterior, que al no ser contestados dieron lugar al envío por la denunciante de un cuarto escrito a la citada entidad, con fecha 13 de enero de 2016, planteando una queja frente a la Directora de la Oficina 082 y solicitando la adopción de las medidas oportunas para recibir la información interesada en el ejercicio de sus derechos como cliente de la entidad. (folios 3 al 6) TERCERO: Con fecha 18 de febrero de 2016 la denunciante recibió en la oficina 082 de CAJAMAR documentación referente a la información solicitada, entre la cual figuraba copia de la petición nº ***PETICIÓN.1 reflejando el curso y resultado de las gestiones realizadas por personal adscrito a diferentes unidades de la denunciada para tramitar las peticiones información de la denunciante. (folios 10 al 14 y 22) CUARTO: En el documento de petición nº ***PETICIÓN.1 se recogen tres correos electrónicos intercambiados a las 10:24, 13:56 y 14:23 horas del día 20 de octubre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/20 de 2015 entre personal del Staff Jurídico Consultoría y Contratación del Grupo Cooperativo Cajamar y de la oficina 082 ***LOCALIDAD.1, siendo su contenido el siguiente: - En el correo electrónico remitido a las 10:24 desde el Staff Jurídico Consultoría y Contratación a la oficina 082 ***LOCALIDAD.1 y a F.F.F., con asunto: “Cliente solicitando información/certificados” y firmado por B.B.B., (en adelante, B.B.B.), de BCC-Servicios Jurídicos, Técnico –Consultoría y Contratación del Grupo Cooperativo Cajamar, se señalaba: “Estimados compañeros, Hemos recibido dos cartas de la cliente de vuestra oficina Doña D.D.D., con NIF G.G.G., que os remitimos para su gestión. Las cartas originales se envían por valija. Saludos.” - En el correo electrónico de respuesta al anterior remitido a las 13:56 por C.C.C. al Staff Jurídico Consultoría y Contratación y a la oficina 082 ***LOCALIDAD.1, con asunto: “Re: Cliente solicitando información/certificados” y firmado por C.C.C., usuario de la cuenta de correo E.E.E., éste señalaba: “Buenas tardes H.H.H. Después de leer las cartas comentarte que desde la oficina no tenemos posibilidad de comprobar con qué claves se han realizado las operaciones, ni el terminal desde donde se han realizado ni quién es el beneficiario de las mismas. Por favor te ruego nos indiques como procedemos o dónde nos dirigimos para que faciliten la información requerida siempre que tengamos la obligación de hacerlo ya que en la cta. Hay dos titulares y si ella no las ha hecho está claro que ha sido su aun marido. Comentarte que esta mujer en los 2 últimos meses nos ha solicitado 3 ó 4 las claves de acceso y la tarjeta de claves porque dice perderlas o que las tiene su abogada, comentarte que al parecer tiene un trastorno de bipolaridad del que se trata. Quedamos a la espera” - En el correo electrónico de respuesta al anterior remitido a las 14:23 desde el Staff Jurídico Consultoría y Contratación a C.C.C., con asunto: “RE: Cliente solicitando información/certificados” y firmado por B.B.B., éste señalaba: “Hola C.C.C., Si la cliente sigue siendo titular de esas cuentas, pese a estar en un proceso de separación, y las cuentas tienen forma de disposición indistinta, ella tiene derecho a que se le dé la información que está solicitando, siempre que técnicamente sea posible dársela. Todo esto al margen de los problemas de salud que pueda tener y que nadie nos ha acreditado. Nosotros no podemos contestar desde aquí. Las cartas las dirige a la Entidad y por eso os las he hecho llegar a vosotros, como parte de la Entidad que sois y al tratarse de vuestro cliente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/20 Podéis poneros en contacto con los compañeros de “Centro de Información” para que os hagan llegar los datos que no podéis facilitarle desde la oficina. Saludos.” QUINTO: En los sistemas informáticos de CAJAMAR figuran datos identificativos y fiscales de la denunciante, constando en dichos ficheros los siguientes datos personales de la denunciante: nombre, apellidos, domicilio, localidad de residencia, nacionalidad, NIF, fecha de nacimiento, régimen económico, actividad principal, teléfono móvil, correo electrónico, datos identificativos de los productos contratados por la afectada, régimen económico y nivel de ingresos. (folios 57 al 64) SEXTO: La denunciante ha negado haber manifestado a persona vinculada a CAJAMAR cuestión alguna referida a su estado de salud ni de circunstancias propias de su esfera personal e íntima, negando también haber presentado ante esa entidad documentación médica o información confidencial. (folio 77) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
10. g)en relación con el artículo 36 de la LOPD. II El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma el artículo 2.1 de la misma señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el apartado
11. a)del artículo 3 de la citada Ley Orgánica 15/1999, como “Cualquier información concerniente a personas físicas identificadas o identificables”, añadiendo el apartado 1.
12. f)del artículo 5 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD), que dato de carácter personal es “cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables”. La definición de persona identificable aparece en la letra
13. o)del citado artículo 5.1 del RLOPD, que considera como tal “toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados”. En este mismo sentido se pronuncia el artículo 2.
14. a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, según el cual, a efectos de dicha Directiva, se entiende por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/20 dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Asimismo, el Considerando 26 de esta Directiva se refiere a esta cuestión señalando que, para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona para identificar a aquélla. Atendiendo a la definición contenida en los artículos citados, apellidos y NIF de la denunciante se ajustan a este concepto. el nombre, Por otra parte, la aplicabilidad de la normativa de protección de datos de carácter personal, de acuerdo con lo indicado en el citado artículo 2.1 de la LOPD, requiere que dichos datos aparezcan registrados en un soporte físico que los haga susceptibles de tratamiento. El artículo 3 de la LOPD define en su letra
15. c)el tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. Por tanto, la garantía del derecho a la protección de datos conferida por la normativa de referencia requiere que exista una actuación que constituya un tratamiento de datos personales en el sentido expresado. Lo expuesto con anterioridad debe completarse con el sentido de las definiciones recogidas en el artículo 3 de la LOPD de los siguientes conceptos: “
16. b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.
17. c)Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.
18. d)Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.
19. e)Afectado o interesado: Persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
20. c)del presente artículo. (…)
21. h)Consentimiento del interesado: Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.” De acuerdo con las definiciones de tratamiento de datos personales anteriormente transcritas, la incorporación y uso de datos identificativos de la denunciante en relación con información referida a datos de salud de la misma en los correos electrónicos transcritos en el hecho probado 4) puede considerarse un tratamiento incluido en el ámbito de aplicación de la LOPD. III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/20 En el presente caso debe dilucidarse si el tratamiento de datos de salud concernientes a la denunciante realizado por CAJAMAR constituye infracción a lo previsto en el artículo 7.3 de la LOPD, precepto que establece que: “3. Los datos de carácter personal que hagan referencia al origen racial, a la salud y a la vida sexual sólo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una ley o el afectado consienta expresamente”. La Organización Mundial de la Salud en su Carta Magna