PS-00380-2017

1/14 Procedimiento Nº PS/00380/2017 RESOLUCIÓN: R/01294/2018 En el procedimiento sancionador PS/00380/2017, instruido por la Agencia Española de Protección de Datos a la entidad GRUPO A & J ABOGADOS Y ASESORES, S.L., vista la denuncia presentada por D.G. DE LA POLICÍA. U.C.R.I.F. GOE XI, y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 3/07/2017 tiene entrada en la AEPD un Oficio de la BRIGADA PROVINCIAL DE EXTRANJERÍA Y FRONTERAS DE LA JEFATURA SUPERIOR DE POLICÍA DE MADRID (BPE) en el que se adjuntan copias de diligencias policiales núm. PPPP/17 de 6/06/2017 por “delitos de falsedad, intrusismo y contra la intimidad” dirigidas al Juzgado de Instrucción en funciones de Guardia de Madrid. Se remiten a esta AEPD por si su autor pudiera haber incurrido en alguna infracción de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). Destaca entre la documentación remitida:

1. a)Diligencia inicial que indica: “A finales de marzo del año en curso se tuvo conocimiento en este Grupo por parte de Delegación de Gobierno en la CCAA de Madrid de una serie de irregularidades que se venían produciendo en su “sistema de citas” por cuanto se había detectado que se producían gran cantidad a través de Internet que luego se anulaban que podían quedar libres sin aprovechar.
2. b)Copia de Informe-denuncia de 19/05/2017 de la Oficina de la Delegación del Gobierno del que aportan copia titulado: “situación de cita previa en Internet para solicitudes de trámites de extranjería en Madrid”, indicándose: “en relación a la reunión mantenida el 21/03 en la Brigada Provincial de extranjería y fronteras de Madrid…expuse y expliqué la problemática que tenemos en la Oficina de extranjería con el sistema de cita previa en internet, concretamente con las citas de RTE en arraigo social y en familiares de comunitarios”. En el informe se indica que en las citas previas han observado la “picaresca” de obtener más de una cita por el mismo extranjero para el mismo trámite y se acumulaban gran cantidad de citas principalmente hechas por profesionales, que luego son anuladas, “muy próximas a las 24 horas del día” y cambiando el nombre a otra persona, acudían el día que inicialmente se había concertado, es decir en la cita anulada que había quedado libre. Indica que “esta situación se ha corregido desde el programa de cita previa”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 Relata el informe que el día 6/02/2017 se persona una “ciudadana nacionalizada española”, la cual decía tener cita para ese mismo día, pero resultó que la tenía para el 8/03/2017, manifestando que había abonado 50 euros a una Asesoría del barrio de Villaverde, c ***DIRECCION.1. Se hizo una segunda verificación y se vio que efectivamente la cita era para ese día, pero que “alguien la había anulado vía internet el domingo 5/02 a las 20:47 y había obtenido otra nueva, la anteriormente referenciada”. “En la cita para el 8/03/2017 aparece una dirección de correo electrónico de una Asesoría-Abogados”. “Se efectúa un filtrado de todas las citas obtenidas” “o en las que aparecen dicho correo”, obteniendo varios listados de citas de procedimientos Residente Arraigo Social y Familiares de comunitarios. De los datos se extraen las siguientes conclusiones: “Las debilidades del sistema de cita previa permiten que se obtengan una gran cantidad de citas haciendo un uso malicioso en la obtención de citas, las acumula y las anulan a su interés volviendo a obtenerlas a nombre de otros ciudadanos. Indica que se reitera en las citas previas empleando este sistema la dirección asesoría_abogados 71 @hotmail.com, comprobando que tiene su domicilio en ***DIRECCION.1, figurando hasta 10 citas para la misma persona, “que obtenían al parecer sin el consentimiento de los titulares.” “Se tomó la medida de que la cita previa que se anulara por Internet no se volviera a generar desde el 9/02.” -Adjunta la Oficina de la Delegación del Gobierno copia de declaraciones de 7/03/2017 de A.A.A. y de 13/03/2017 de B.B.B.. Manifiesta la primera que no autorizó el uso de sus datos para la concertación de las citas de 23/01 y 8/03/2017 a la Asesoría de ***DIRECCION.1, y el segundo indica que no autorizó a usar sus datos para 10 citas, solo en una ocasión, identificando en ***DIRECCION.1 a una persona llamada C.C.C. al que pagó 50 euros. Asimismo, se añaden justificantes individualizados de las citas de ambos. Para A.A.A. se aporta copia de un listado de tres citas bajo el e mail asesoría_abogados 71 @hotmail.com: -FECHA CONFIRMACION 2/11/2016 26/01/2017 10/03/2017 FECHA CITA 23/01/2017 8/03/2017 31/05/2017 Y otras dos citas de otra direcciones distintas de e mail, de 26/08/2014 18/10/2015 12/09/2014 26/11/2015 Para B.B.B. se aporta listado con 10 citas y en los justificantes individuales todos con la dirección de correo electrónico asesoría_abogados71@hotmail.com abarcando días concretos de cita desde 9/04/2015 a 6/03/2017.
3. c)Acta de comparecencia de 26/04/2017 de A.A.A. (folios 34 y ss.) que acudió a la Oficina de ***DIRECCION.1 a mediados de 2014 que gestionaba asuntos de extranjería para consultar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 sobre la regularización de su situación, y que una persona llamada C.C.C. que allí prestaba servicio le solicitó la tarjeta de identificación de extranjero, quedándose con una fotocopia, y que no volvió desde entonces. Añade que ella no solicitó cita alguna. Manifiesta que el 6/03/2017 recibió una llamada de la Delegación del Gobierno Madrid, c/ Silva comentándole que tenía una cita para el 8/03, siendo la razón de la llamada que tenía concertadas más citas en los últimos meses, si bien no se presenta, preguntándole por el motivo, contestando que no sabe nada de lo que le indican. Se le pregunta si ha pedido citas para los días 12/09/2014, 26/11/2015, 23/01, 8/03 y 31/05/2017 y contesta que no. Manifiesta que la dirección de correo electrónico asesoría_abogados71@hotmail.com no es de ella. En el reconocimiento de sospechosos, identifica la foto de C.C.C. como persona que le recabó los datos en su día.
4. d)Acta de comparecencia de 30/03/2017 de D.D.D., y en la misma se manifiesta que acudió por primera vez al despacho de ***DIRECCION.1 porque caducaba en noviembre de 2016 su Tarjeta de identificación de extranjero, contactando con C.C.C. y se hizo fotocopias de pasaporte y su tarjeta y desde esa fecha ha seguido manteniendo contacto con C.C.C.. Manifiesta que C.C.C. le informa el 20/03 que sus “papeles le habían salido favorables” y ella se personó en las Oficinas de extranjería de c/ Luna para cerciorarse, ratificando que le había sido autorizado el trámite. Se le pregunta si realizó personalmente o con su consentimiento cita para el 23/01/2017 a 13:45 para renovación de autorización de residencia con trabajo, y contesta que no, y en idéntico sentido contesta sobre las citas de 8/03 y 26/05/2017. Al serle mostrada una composición de distintas fotografías, reconoce a C.C.C. como la persona que le asistió en sus trámites. Sus recibos o justificantes de citas no son aportados.
5. e)Comparecencia de B.B.B., con 10 citas concertadas con sus datos desde 9/04/2015 a 6/03/2017 que manifiesta que en 2011 contactó con dicha Asesoría, entrevistándose con C.C.C., le solicitó y fotocopio el pasaporte y le consiguió una cita, pero como no tenía contrato no podía realizar el trámite, sin esperar más noticias de la Asesoría. Preguntado, manifiesta que no concertó por si o autorizando, las citas de 2015 de 9/04, 17/07, 13/10 y 1/12, y de 2016: 3/02, 14/04, 15/07, 26/10, 2017: de 20/01, 6/03. Reconoce en una serie de fotografías a C.C.C..
6. f)Copia de listado de citas de “familiares comunitarios” (dos hojas y parte de una tercera) en el que figuran citas de personas pedidas bajo la dirección electrónica asesoría_abogados 71 @hotmail.com conteniendo en la parte izquierda unas fechas de cita entre 2/01/2017 a 29/08/2017 y en la derecha la fecha en que fueron solicitadas. Se observa que hay 5 personas que tienen citas repetidas, todas dos citas, y una tres citas, si bien ninguna de estas fue llamada a declarar por la Policía. No se indica si fueron anuladas o no.
7. g)Copia de listado de citas de “arraigo social” en la que figuran en la página uno B.B.B. y A.A.A., con citas para 20 y 23/01/2017 respectivamente, mientras que en la página dos, los datos de A.A.A. y B.B.B. con citas para 6 y 8/03/2017 respectivamente. No se añade si las citas fueron anuladas o no y que persona ocupa su cita.
8. h)Indica la Policía que la Asesoría “es regentada por C.C.C. en la que trabajan como Asesores y Abogados ocho personas más”. El mentado figura como Administrador Único de la mercantil C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 GRUPO A&J ABOGADOS Y ASESORES SL, procediendo a la detención el 6/06/2017 de C.C.C. por su participación en “dos delitos de falsedades y otro contra la intimidad.” SEGUNDO: El Servicio de Inspección de la Agencia Española de Protección de Datos accede el 14/07/2017 a la web del Registro Mercantil y por la búsqueda del CIF que la Policía indica en su informe, ***CIF.1, obteniendo los datos de la empresa que se menciona en dicho informe, GRUPO A&J ABOGADOS Y ASESORES SL. Figura con objeto social: “Contabilidades de empresas, profesionales y Autónomos. Administración de fincas, actividades inmobiliarias en el sentido ms extenso de la palabra: alquileres, compraventa, asesoramiento en la adquisición de las mismas”, capital social suscrito y desembolsado; 4192 €, domicilio social: ***DIRECCION.1, y C.C.C. como Administrado Único. Se accede a la aplicación que en la AEPD gestiona los ficheros inscritos, efectuando consulta con el CIF referido y se obtiene como resultado que la entidad GRUPO A&J ABOGADOS Y ASESORES SL tiene inscrito el fichero “CLIENTES Y PROVEEDORES” con la finalidad de gestión fiscal, administrativa y contable. TERCERO: Mediante Acuerdos de fecha 24/07 y 2/08/2017 (corrección de errores) se inicia en esta Agencia Española de Protección de Datos (AEPD) procedimiento sancionador contra GRUPO A&J ABOGADOS Y ASESORES SL por la comisión de una infracción del artículo 4.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
9. c)de dicha norma. En la misma resolución se acordaba la suspensión del procedimiento por figurar las diligencias policiales PPPP/17 enviadas al Juzgado de Guardia de Madrid. La cuantía de la sanción inicial, sin perjuicio de lo que resultara de la tramitación del procedimiento se estimó en 18.000 euros, a efectos del reconocimiento de responsabilidad del artículo 85.1 de la Ley 39/2015, de 1/10 del Procedimiento Administrativo Común de las Administraciones Públicas (LPCAP) y del pago voluntario, artículo 85.2 de la misma norma. En fecha 4/08/2017, la denunciada alega: 1) Las personas a las que preguntó la Policía desconocen trámites y detalles internos de las citas, por lo que es posible que ellos no supieran que sus datos se introducen en la aplicación para concertar las citas para la persona interesada. 2) La imputación de que se han cogido citas sin el conocimiento de los afectados es falsa. Se cogió más de una cita por cautelas ya que a veces no da tiempo a presentar toda la documentación o falta cumplir algún requisito, por lo que se posterga y así se tiene antes. Otras veces se hace porque se prevé que pueda ser denegada, se pide por una modalidad y se reserva la petición de otra. En el momento de coger la cita, todos los clientes estaban involucrados en la gestión con el despacho, si bien es posible que en el momento de la cita ya hubiesen roto la relación con la mercantil dado que las citas demoran meses. A.A.A. “se interesó por el procedimiento de obtención de un permiso inicial en 2016, sin perjuicio de que hubiera consultado previamente, y accedió a que se le cogiera cita en el caso de poder presentar el permiso correspondiente”. Se han cogido unas citas por voluntad de la persona. Sobre D.D.D. el trámite para el que contrató los servicios, renovación de autorización de residencia temporal y trabajo por cuenta ajena “es posible que no recordase que tenía una cita para dicho día, porque no tenía obligación de ir, pues este tipo de trámite se puede hacer C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 autorizado por el interesado, pero contrató su renovación de residencia a lo cual se le informó de que existía una cita que quizás no recordó.” D. B.B.B., obtuvo diez citas en más de dos años “por impedimento en los requisitos para presentar permisos”, entendiendo que con el encargo de la tarea, se está autorizando a realizar los trámites conexos a la misma. CUARTO: En fecha 25/08/2017 se solicitó al Decanato de los Juzgados de lo Penal de Madrid que informara del órgano judicial que tramitaba las diligencias, contestando el 11/09/2017, que es el de Instrucción 34 de Madrid. Se solicita el 14/09/2017 información al mismo, reiterando la petición el 27/10/2017 y el 19/12/2017, y respondiendo el 26/01/2018 que por auto de 8/06/2017, del que acompañan copia, no aparece justificado el delito, decretando el sobreseimiento provisional. En fecha 12/02/2018, la Directora de la AEPD acuerda levantar la suspensión del procedimiento y se notifica al denunciado. QUINTO: Transcurrido el plazo de alegaciones que se concedió en el acuerdo de inicio, se acuerda el 9/03/2018 abrir periodo de práctica de pruebas por un plazo de 10 días, según lo dispuesto en el artículo 77 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas. Se acuerda practicar las siguientes pruebas:
10. a)Incorporar al expediente del procedimiento arriba indicado, y por tanto dar por reproducida a efectos probatorios, la documentación recabada en las actuaciones previas.
11. b)Dar por reproducidas a efectos probatorios, las alegaciones al acuerdo de inicio, todo ello con su correspondiente documentación adjunta. 1) Se solicita a la denunciada, 1.1 Informe sobre el modo de recoger los datos de las personas que solicitan sus servicios, forma de informarles de la finalidad y de la recogida de datos. Informó el 4/04/2018 que al cliente se le asesora sobre el trámite a realizar y si muestra su conformidad con efectuarlo y con el presupuesto se realiza una hoja de encargo en la cual se incluyen sus datos básicos que debe firmar. Se le manifiesta al cliente que “ tales datos los utilizaremos para la tramitación del trabajo o prestación del servicio contratado”, y que tales datos pueden ser presentados a organismos o entidades públicas cuando los tramites así lo requieran como puede suceder en los tramites de extranjería. “En todo momento el cliente es informado, y tiene constancia de en qué se emplean sus datos”. Las citas concertadas son anuladas si la persona comunica que no puede asistir, intentando sacar una nueva cita. “Hay ocasiones en las que para hacer coincidir la cita de extranjería con el cumplimiento por el cliente de todos los requisitos, obtención de certificado de antecedentes penales de su país de origen, contrato de trabajo entregado por la empresa, es por lo que previo su consentimiento, se sacaba su cita y “cancelábamos” en varias ocasiones debido al largo lapso de tiempo en el cual las Oficinas de extranjería estaban dando citas.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 1.2 ¿Cómo almacena los datos que recogen en fotocopias en papel y si en el momento de hacer copias a un cliente le informan del uso? Respondió que de los clientes se recogen y guardan sus datos en sus bases informáticas y las fotocopias se almacenan en carpetas. Al momento de recoger datos se informa siempre del uso. 1.3 Qué datos tienen, de: D.D.D., A.A.A. y B.B.B., aportando impresión de sus sistemas si están automatizados o copias en papel si los tienen solo en papel. Manifiesta que D.D.D. solicitó sus servicios sobre renovación de tarjeta de residencia en octubre de 2016. Tras la actuación profesional en marzo de 2017, el trámite de renovación fue resuelto favorable por la Delegación del Gobierno, obteniendo la tarjeta. Manifiesta que A.A.A. acudió por primera vez en octubre de 2015, aceptando el presupuesto. En numerosas ocasiones nos solicitó cancelar la cita solicitada para atrasarla porque no tenía disponibilidad para acudir a la oficina de extranjería, por ello se tuvo que cancelar y solicitar una nueva para dicho trámite más de tres ocasiones. Finalmente no acudió a las citas y se cesó en la prestación del servicio. Manifiesta que B.B.B. acudió al despacho en enero de 2017, aceptando el servicio y se le concertó cita para el trámite, manifestando que se le cancelara la cita que tenía, y se concertara una nueva pues estaba a la espera de que la empresa le entregara el contrato de trabajo. Tras reiterados intentos de que acudiese al despacho para que manifestara si deseaba continuar o no, tras su falta de contestación, se cesó en la relación. 1.4 informe sobre si la dirección de correo asesoría_abogados71@hotmail.com es de su titularidad y si se consignaba en las citas previas de extranjería. Precisa que esa es la dirección de correo electrónico de su despacho y la que se suele introducir en las citas previas. No aporta impresión de los datos de los clientes referidos. 2) Se solicita a la BRIGADA PROVINCIAL DE EXTRANJERIA y FRONTERAS, sobre las diligencias PPPP/17 que dieron lugar al inicio de este procedimiento: 2.1 En la declaración de D.D.D. se le pregunta si pidió cita en varias fechas, pero no se dispone del listado que acredite que le constaran solicitudes de citas para asuntos de extranjería para los días 23/01, 8/03 o 26/05/2017. También si conocía a E.E.E.. Se le solicita que aporten los listados de dichas solicitudes de cita, señalando las de la declarante, y la de la persona/s que ocuparon el hueco que dejaron las citas iniciales al ser anuladas. En idéntico sentido, se pide lo mismo para los otros dos declarantes A.A.A. y B.B.B., señalándolas en los listados y que personas ocuparon sus citas anuladas, y si saben quién era la persona que hacia estas anulaciones y con qué medios probatorios (como ejemplo: dirección IP desde la que se enviaba la cita o se anulaba la misma). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 Con fecha 2/04/2018 responde que sobre la petición de que aportaran las listas en las que se distingan las cancelaciones de las peticiones de citas de extranjería de los tres declarantes en diligencias, donde se aprecie que se cancelan y se reasignan a otras personas, no disponen de los datos de personas que ocuparon las citas anuladas, pues no se investigó, al entender suficiente para la imputación lo existente. Sobre la identidad de la IP, nada manifiestan. Aporta tres justificantes de peticiones de citas de D.D.D. para los días 23/01, 8/03 y 26/05/2017 figurando en los tres el número de teléfono ***TELEFONO.1 y como e mail asesoría_abogados71@hotmail.com, siendo la cita en tres oficinas distintas, la segunda y tercera cita por el mismo trámite. Aportan también cuatro justificantes de peticiones de citas de A.A.A., que ya figuran en el expediente, constando en dos de ellas el e-mail asesoría_abogados71@hotmail.com, así como las diez que le constan a B.B.B.. Manifiestan que sobre la dirección de correo electrónico asesoría abogados71@hotmail.com con la que se confirmaban las citas previas, dicha cuenta se “asocia a una asesoría sita en la c/ ***DIRECCION.1 de Madrid, correspondiente a la empresa “Grupo A&J Abogados y Asesores SL” 2.2 Detallen quien es, o porque se les pregunta a los declarantes si conocen a E.E.E.. Indican que se corresponde con el “propietario” del teléfono ***TELEFONO.1 que figura en la mayoría de las “citas fraudulentas” como número de contacto habitual de contacto en las citas previas. 3) Al Jefe de la Oficina de Extranjería de Madrid, Delegación del Gobierno, se le indica en relación con su escrito de 19/05/2017 que obra en las diligencias policiales: 3.1 ¿cómo llegó a conocer que la dirección asesoría_abogados71@hotmail.com tiene su domicilio en c/ ***DIRECCION.1? Aportando el documento que lo acredite. Aporta en anexo 1 y 2 los escritos-declaraciones que ya constan en el expediente, relativo a la declaración de A.A.A. firmados por A.A.A. y B.B.B. el 7 y 13/03/2017. También en GOOGLE anotando en la búsqueda c/ ***DIRECCION.1, redirige a GRUPO A&J ABOGADOS Y ASESORES SL. Se concluye que aunque la dirección electrónica hotmail pertenece a GOOGLE, en este supuesto no se hecho averiguación alguna de la dirección IP contenidas en los mensajes enviados que hubieran remitido a un número y un operador telefónico del mismo, que podría haber dado información del titular de la línea telefónica desde la que se enviaron los mensajes, pudiendo haber sido un indicio probatorio importante para conocer quien efectuó las solicitudes de citas. 3.2 Indique si puede aportar, de las dos personas que refiere al final de su escrito de 19/05/2017, A.A.A. y B.B.B., listados de citas que tenían, listados en que son anuladas las citas y listados que incluyan que las mismas citas son asignadas a otra persona, señalando que personas son. Indica que en las listas obtenidas, anuladas y las nuevamente pedidas de las previas anuladas aparece la dirección de correo electrónico asesoría_abogados71@hotmail.com Aporta los justificantes de cita confirmada a nombre de A.A.A., fecha confirmación o solicitud de 2/11/2016 cita para el 23/01/2017 y fecha confirmación 26/01/2017 para el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 8/03/2017, con distintos números de reserva de cita, misma dirección de correo electrónica asesoría_abogados71@hotmail.com. Para justificar que esa cita se utiliza para otra persona aporta un listado de citas desde 7/02/2017 a 27/04/2017, en el que no se explica ni se detalla cual/ es son las que se anulan, y que persona ha ocupado su lugar. Tampoco se contiene o conserva el mismo número de reserva pues no figura en el listado, figurando solo la dirección asesoría_abogados71@hotmail.com. Sobre B.B.B., aporta justificantes de citas, fecha confirmación o solicitud comprendidas entre 26/03/2015 a 26/01/2017. En el listado que se acompaña (el mismo que en el de la persona del párrafo anterior) no se detalla ni se explica cuáles de las citas fueron anuladas y a que persona se les atribuyó. 3.3 Indique si las personas que pedían las citas en el momento de los hechos tenían algún tipo de autenticación en el sistema para pedir citas de modo que se podía conocer quien la solicitaba o si por el contrario, en aquella época, podía cualquier persona rellenar los datos, tanto teléfonos como dirección de correo electrónico o nombre y apellidos con solo conocerlos. ¿Qué datos básicos o mínimos había que completar para la petición de cita? También se le pregunta si estima que sería conveniente proporcionar e instaurar claves de autenticación electrónicas a despachos y oficinas con el fin de conocer e identificar quien pide las citas, quien las anula etc., y si en la actualidad, el programa de citas reproduce alguna incidencia motivada por el uso de los datos. Respondió que no se requiere ninguna autenticación, cualquier persona puede rellenar los datos personales , teléfonos, direcciones de correos, si bien queda registrado en el sistema de cita previa la dirección IP del ordenador desde el cual se solicitan las citas, se anulan y se vuelven a coger otra vez. Los datos básicos que solicita el sistema depende de la provincia desde la que se solicite la cita en Madrid son el NIE o pasaporte, nombre y apellidos, año de nacimiento y país, complementarios, el teléfono y el correo electrónico. Señala que en la actualidad el programa no reproduce ninguna incidencia motivada por el abuso del sistema y que para detectar irregularidades se han de hacer filtrados. SEXTO: Con fecha 22/05/ 2018 se formuló propuesta de resolución, con el literal: “Que por la Directora de la Agencia Española de Protección de Datos se declare el ARCHIVO de la infracción imputada a GRUPO A & J ABOGADOS Y ASESORES, S.L., de una infracción del artículo 4.1 de la LOPD, tipificada como grave en el artículo 44.3.
12. c)de la LOPD.” HECHOS PROBADOS 1. La Delegación del Gobierno en la CCAA de Madrid comunica a la Brigada Provincial de Extranjería (BPE) a finales de marzo de 2017 una serie de irregularidades observadas en el sistema de la web de la SEAP usado para concertar citas de extranjería, detectándose que se realizaban reservas de citas con datos personales, que luego se anulaban (folio 4). Además, en algunos casos, al saber que esa cita que se anulaba se volvía a generar en las siguientes 24 horas, se usaba para algún otro cliente de una Asesoría o Gestoría. La BPE instruyó diligencias C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 PPPP/17 de 6/06/2017 por los hechos aquí denunciados deteniendo al Administrador único de la entidad GRUPO A&J ABOGADOS Y ASESORES SL. 2. Para conseguir una reserva de cita previa, la aplicación solo solicita como datos básicos a introducir: nombre y apellidos, NIE, año de nacimiento y país, como complementarios el número de teléfono y el correo electrónico. No se hace ninguna comprobación o verificación por la titular de la plataforma sobre dicha dirección de correo electrónico o el teléfono introducido. Se aprecia pues, que estos datos en la plataforma de las citas pueden ser introducidos por cualquier persona que los conozca o que los tenga a su disposición y además no existe procedimiento de verificación de la titularidad de la persona que elige la cita, si bien la plataforma conserva la dirección IP desde la que se efectúa la cita. 3. En la citada web, varias citas previas aparecen solicitadas con el dato de contacto del correo electrónico: asesoría_abogados71@hotmail.com, asociada a la Asesoría ubicada en ***DIRECCION.1, Madrid, denominada GRUPO A&J ABOGADOS Y ASESORES SL, en la que C.C.C. es Administrador, que reconoce como propia la citada dirección que suele usar para concertar citas. 4. La Policía tomó declaración a tres personas localizadas mediante el análisis de citas pedidas en la aplicación bajo asesoría_abogados71@hotmail.com. la citada dirección del correo electrónico: a. En cuanto a D.D.D. declaró que entregó sus datos a la denunciada para un trámite de caducidad de su tarjeta de residencia en noviembre 2016, siendo avisada en marzo 2017 que su solicitud había sido aprobada. Le constan en la aplicación citas pedidas para 23/01,8/03 y 26/05/2017. No se acredita que dicho números de reserva fueran utilizados por otra persona previa anulación. b. B.B.B. declaró que usó los servicios de la denunciada por primera vez en 2011 y que recogió sus datos .Le constan 10 citas desde 9/04/2015 a 6/03/2017. Se desconoce si sus citas han sido nuevamente generadas y usadas para algún cliente y que ese nuevo cliente lo fuera de la también de la Asesoría denunciada. Asimismo se desconoce si las citas fueron simplemente no usadas o anuladas. Ninguna de las partes aporta documento escrito sobre la entrega de documentos y servicios que comprende la entrega de los documentos con datos c. A.A.A. declaró que a la denunciada le hizo entrega de su NIE que se fotocopió por una persona llamada C.C.C. de la gestoría de ***DIRECCION.1 de Madrid a mediados de 2014. (34, 35). Indica que recibió la llamada telefónica de C.C.C. un mes después diciéndole que ya tenía cita, si bien ella le dijo que solo había pedido información. En el listado de la Policía y justificantes de la aplicación de citas, figuran sus datos en relación con citas para el 23/01, 8/03/ 31/05/2017 (folio 47, 52, 53,56) Se desconoce si sus citas han sido nuevamente generadas y usadas para algún cliente y que ese nuevo cliente lo fuera de la Asesoría denunciada. Asimismo se desconoce si las citas fueron simplemente no usadas o anuladas 5. Se desconoce la dirección IP desde la que se concertaban las citas en la web de citas de extranjería de los tres declarantes ante la Policía que indicaron que ellos no habían solicitado las mismas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 6. Entre las diligencias policiales figura la recepción de un Informe denuncia del Jefe de la Oficina de Extranjería de la Delegación del Gobierno de Madrid de 19/05/2017 en el que se pone de manifiesto que desde 9/02/2017, las citas que se anulan, no se generan al inicio del día siguiente sino que ya no se vuelven a generar (folios 30-41) y además, no pueden ser pedidas por el mismo peticionario. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
13. g)en relación con el artículo 36 de la LOPD. II Se imputa a la denunciada la comisión de una infracción del artículo 4.1 de la LOPD que indica: “Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” Si bien al tratamiento de datos personales para el mantenimiento o cumplimiento de una relación laboral o administrativa no precisa del consentimiento de los afectados, según señala el artículo 6.1 y. 2 de la LOPD: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6 , de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” En esta ocasión, los tres declarantes ante la Policía manifestaron que efectivamente encomendaron algún tipo de gestión a la denunciada, entregando y permitiendo la copia de documentos, por lo que inicialmente sería de aplicación el artículo 6.2 de la LOPD. Sin embargo, ninguno de ellos aporta nota de encargo para conocer en qué términos y condiciones se realiza el uso y tratamiento de datos que aparecería relacionado con las tareas a desarrollar por la Asesoría denunciada. El artículo 3 de la LOPD define: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 “
14. b)Fichero: todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.
15. c)Tratamiento de datos: operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.
16. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” El artículo 43 de la LOPD indica: “1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” Se aprecia que la infracción supondría en su caso la introducción de datos en una web de un organismo administrativo creado para la gestión de asuntos de extranjería. Existe un responsable del fichero, en este caso la SEAP, responsable de la plataforma de citas. Este responsable es el que es responsable del diseño, estructura y seguridad de la plataforma. Además existen en relación con esta web, los responsables de los tratamientos que son los que deciden introducir los datos para las peticiones de las citas, sean personas físicas titulares de los mismos u otras que actúan en su nombre, o entidades jurídicas que actúan en nombre de las personas físicas por tener algún tipo de relación con los mismos. La denuncia toma cuerpo sobre la posibilidad de que en dicha web de cita previa, se introduzcan los datos personales de la misma persona en más de una ocasión. Sea el mismo día o en días sucesivos, se consiguen citas, que luego en gran parte se anulaban, ocasionando el trastorno en el servicio al consumirse las mismas y aumentar la cola de espera por citas perdidas. En otras ocasiones, al anularse quedaba libre a las 24 horas, pudiéndose obtener ese hueco libre, que era usado por el profesional o la asesoría que la cumplimentaba para un cliente, según se indican en las diligencias policiales, aunque esto no ha quedado acreditado. De este uso en beneficio propio de la cita anulada no queda constancia por cuanto no se ha conseguido correlacionar las citas concertadas, y su correspondencia con su anulación y nueva generación. Destacar que no se ha averiguado desde el dato de la IP que queda en los registros de las citas, la titularidad de la línea telefónicas asociadas a las mismas, que podría haber sido determinante en la persona que introduce los datos. También se ha de reseñar por parte de los declarantes ante la Policía, la falta de constancia documental que se producía en relación con la entrega de los datos, por lo que no queda acreditado el uso o tratamiento para un fin no convenido por las partes, o que no sea pertinente con el fin para el que se entregaron. Esta vía de hecho supone una dificultad a la hora de establecer el objeto de los datos, sus límites y finalidades. III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 El segundo aspecto a concretar sería la imputación al autor de los hechos. En este sentido, el principio general en derecho sancionar de presunción de inocencia precisa que corresponde a quien acusa de una infracción obtener las pruebas y documentos válidos que evidencien la participación del imputado en la supuesta infracción cometida por dicha persona, cuando se acredite que la infracción se ha producido. Ello requiere dos fases, constatar que se ha cometido una infracción, y dos que la misma se haya cometido por el imputado. La presunción de inocencia debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, pues el ejercicio del ius puniendi en sus diversas manifestaciones está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 28.1 de la Ley 40/2015, de 1/10 de Ley de Régimen Jurídico del Sector Público, indica:”1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas… que resulten responsables de los mismos a título de dolo o culpa. Conforme señala el Tribunal Supremo (STS 26/10/98) el derecho a la presunción de inocencia “no se opone a que la convicción judicial en un proceso pueda formarse sobre la base de una prueba indiciaria, pero para que esta prueba pueda desvirtuar dicha presunción debe satisfacer las siguientes exigencias constitucionales: los indicios han de estar plenamente probados – no puede tratarse de meras sospechas – y tiene que explicitar el razonamiento en virtud del cual, partiendo de los indicios probados, ha llegado a la conclusión de que el imputado realizó la conducta infractora, pues, de otro modo, ni la subsunción estaría fundada en Derecho ni habría manera de determinar si el proceso deductivo es arbitrario, irracional o absurdo, es decir, si se ha vulnerado el derecho a la presunción de inocencia al estimar que la actividad probatoria pueda entenderse de cargo.” La sentencia del Tribunal Constitucional de 20/02/1989 indica que “Nuestra doctrina y jurisprudencia penal han venido sosteniendo que, aunque ambos puedan considerarse como manifestaciones de un genérico favor rei, existe una diferencia sustancial entre el derecho a la presunción de inocencia, que desenvuelve su eficacia cuando existe una falta absoluta de pruebas o cuando las practicadas no reúnen las garantías procesales y el principio jurisprudencial in dubio pro reo que pertenece al momento de la valoración o apreciación probatoria, y que ha de juzgar cuando, concurre aquella actividad probatoria indispensable, exista una duda racional sobre la real concurrencia de los elementos objetivos y subjetivos que integran el tipo penal de que se trate.” En definitiva, aquellos principios impiden imputar una infracción administrativa cuando no se haya obtenido y acreditado una prueba de cargo acreditativa de los hechos que motivan la imputación o de la intervención en los mismos del presunto infractor. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 Los datos personales de los declarantes figuraban tratados en la web de petición de citas de la SEAP. En el caso de D.D.D. se estaban llevando a cabo gestiones por la denunciada que finalizaron en marzo según reconoce ella misma. También los otros dos declarantes gestionaron en algún momento con la denunciada algún tipo de solicitud relacionada con extranjería. La circunstancia alegada por la denunciada de que se solicitaban varias citas a la vez para la misma persona porque a veces podía faltar documentación o como forma de prever que iba a ser necesaria otra cita puede ser asumible y posible dada la configuración de la aplicación de reserva de citas que así lo permitía. En el presente supuesto se acredita que se pidieron varias citas para dos declarantes, pero no se acredita que fueran usadas por otras personas ni que esas otras personas fueran clientes de la denunciada. Sería lógico pensar que las citas fueron anuladas. La aplicación de reserva de citas, responsable del fichero no tenía establecido ningún mecanismo de verificación de autenticación o verificación de cada cita o de los datos introducidos como podría la verificación a través del correo electrónico lo que supondría que la confirmación a través del mismo supone de algún modo el consentimiento para la misma. Sin embargo en este caso el correo electrónico únicamente se rellenaba como dato adicional más, y como dato anotado, y no comprobado en cuanto al uso de su titular. A la anotación de dicho correo en las citas no se le puede otorgar un valor probatorio pleno de que dicha Asesoría era la que concertaba las citas. Pero aunque así fuere, el hecho de introducir diversas citas para una persona que dio sus datos, para luego anularse las mismas resultaba factible para gestiones de la misma. Siendo una web institucional en la que se metían los datos básicos para las citas, datos que quedaban en poder del organismo administrativo, que no consta perjuicio acreditado para los dos declarantes ante la Policía: A.A.A. y B.B.B. y al no identificar fehacientemente al usuario IP desde la que se pide la cita. Si se quisiera colapsar el sistema de citas sería posible introduciendo nombres y NIES para luego no acudir a ninguna de las citas concertadas, por lo que el diseño y seguridad de la aplicación es importante para corregir los efectos que podría ocasionar el sistema. En el presente supuesto, los datos los dieron los declarantes a la Gestoría denunciada por haber comenzado el trámite de algún tipo de gestión y las actuaciones las comenzó la Policía. Con la documentación recibida no se constata que las citas concertadas con los datos de los declarantes fuera utilizada de modo desviado para otra persona y que tanto las citas concertadas, como la anulación y atribución lo haya sido por la denunciada y para un cliente propio o en provecho propio. Si bien algunos declarantes manifiestan que dieron sus datos al titular del establecimiento, ninguno aportó algún documento de entrega/recepción. Por otro lado, no existe un sistema de identificación que fehacientemente identifique al responsable de la petición de la cita/anulación. En tal sentido, podría ser adecuado que las entidades que presten servicios relacionados con el asesoramiento de cuestiones de extranjería contaran dentro del sistema con una clave identificativa para la solicitud de gestiones y trámites relacionados con su ámbito, dada la progresiva implantación de la Administración electrónica, que permitiría identificar al gestor. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 Téngase en cuenta que no se identificó al titular de la IP desde la que se pedían las citas, que podría haber contribuido a identificar a la persona que introducía los datos o cursaba las anulaciones o cambios de clientes, ni figuran los nuevos clientes para los que se concertaban. Así se podría haber llegado a conocer si las nuevas citas eran concertadas por el mismo titular y las personas que reemplazaban la cita eran o no clientes de la denunciada. Por otro lado, la introducción de datos personales en una web institucional para concertar citas es algo común y es el fin de los trámites que se pretende implantar con la misma No quedando acreditada la entidad o persona que introducía los datos en las citas previas ni en sus anulaciones y la nueva persona asignada a la cita modificada, procede en virtud del principio de presunción de inocencia el archivo de la infracción imputada a la denunciada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: Declarar el ARCHIVO de la infracción imputada a GRUPO A & J ABOGADOS Y ASESORES, S.L., de una infracción del artículo 4.1 de la LOPD, tipificada como grave en el artículo 44.3.
17. c)de la LOPD. SEGUNDO: NOTIFICAR la presente resolución a GRUPO A & J ABOGADOS Y ASESORES, S.L. TERCERO: De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es