PS-00598-2014

1/43 Procedimiento Nº PS/00598/2014 RESOLUCIÓN: R/01421/2015 En el procedimiento sancionador PS/00598/2014, instruido por la Agencia Española de Protección de Datos a la entidad COLEGIO OFICIAL DE PILOTOS DE LA AVIACION COMERCIAL (COPAC), vista ....... por D. A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 23/01/2014, tuvo entrada en la Agencia Española de Protección de Datos (AEPD) un correo electrónico de D. A.A.A. (en lo sucesivo el denunciante), en el que manifestó que la entidad COLEGIO OFICIAL DE PILOTOS DE LA AVIACION COMERCIAL (en lo sucesivo COPAC) “ha extraviado el libro oficial protocolizado del COPAC donde se recogen actas y resoluciones que contienen mis datos personales” y que esta pérdida se declaró por la citada entidad en el año 2013 ante el Juzgado de Primera Instancia núm. ** de Madrid. SEGUNDO: Mediante un nuevo correo electrónico de fecha 24/01/2014, el denunciante solicitó a la AEPD que “en tanto no se determine el alcance de la documentación extraviada, proceda cautelarmente al BLOQUEO TOTAL de todos los ficheros que estén gestionados por el COPAC al no poderse garantizar la protección de datos personales allí registrados reservándome las acciones legales oportunas por los daños y perjuicios que esta nueva omisión me produzcan”. El denunciante se refiere nuevamente al extravío o pérdida de documentación que contiene sus datos personales alegada ante el Juzgado mencionado en el Antecedente anterior y aporta copia de un escrito que el COPAC dirige a dicho Juzgado, de fecha 22/11/2013, que da respuesta a un requerimiento del mismo en relación con el procedimiento núm. ****/20**, en el que se alude a diversa documentación que no ha sido localizada, señalando al respecto que, “si el Juzgado lo entendiera preciso, se continuaría la búsqueda dela documentación requerida”. En concreto se refiere a varias denuncias presentadas por el denunciante ante el COPAC contra ................... (D. B.B.B., C.C.C., D.D.D., o E.E.E.) y los procedimientos seguidos contra los mismos por su responsabilidad en el ejercicio del cargo colegial, en relación con la obstaculización de los derechos de acceso y cancelación de datos personales por el denunciante y el tratamiento no autorizado de sus datos personales en el marco de los procedimientos seguidos en esta Agencia que se citan. En el mismo correo, el denunciante manifiesta que dichos documentos fueron auntentificados ante notario, registrados en el COPAC e integrados a un libro protocolizado ante el Registro Mercantil. TERCERO: Con fecha 10/03/2014, el Director de la Agencia Española de Protección de Datos instó a la Subdirección de Inspección de Datos, mediante nota interior, el inicio de actuaciones inspectoras con el propósito de comprobar la adecuación del COPAC a los requisitos exigidos en la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) y su normativa de desarrollo, en materia de seguridad y otras cuestiones conexas; así como a investigar en especial las cuestiones planteadas por el denunciante en sus correos electrónicos de enero y febrero de 2014, reseñados en los Antecedentes anteriores. Este acuerdo dio lugar a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/43 la apertura del expediente de investigación número E/******/2***. CUARTO: Con fecha DD/MM/AA, se dictó resolución por el Director de la AEPD en el expediente TD/******/2***, en la que se acordó inadmitir la reclamación de Tutela de Derechos formulada por el denunciante contra el COPAC, relacionada con el derecho de acceso ejercitado por el mismo ante la citada entidad en fecha DD/MM/AA. En el escrito de solicitud de tutela de derechos que promueve el procedimiento TD/******/2***, presentado por el denunciante en fecha DD/MM/AA, además de la reclamación de las cuestiones relativas al derecho de acceso ejercitado, el denunciante puso de manifiesto otros hechos señalando que podrían ser constitutivos de infracción en materia de protección de datos, dando lugar al acuerdo contenido en la Resolución de la AEPD de DD/MM/AA, en la que se dispone que estas cuestiones se diluciden en el marco del expediente de investigación señalado con el número E/******/2***. Las nuevas cuestiones suscitadas por el denunciante en su escrito de solicitud de tutela de derechos, de fecha DD/MM/AA, son las siguientes: . Extravío de documentación de carácter público que contiene los datos personales del denunciante. . En relación a lo manifestado en el correo del día 27/01/2014, denuncia la desaparición de tres denuncias presentadas por él ante el COPAC en fecha 03/03/2005, registradas con números ***NÚMERO.1, ***NÚMERO.2 y ***NÚMERO.3. Aporta acta notarial sobre la presentación de dichos documentos. . La desaparición de la información relativa al procedimiento disciplinario incoado contra el denunciante y notificado con fecha DD/MM/AA, aportado al procedimiento seguido en la AEPD con el número TD/*****/2***. . Existencia de un fichero clandestino en el que se almacenan las comunicaciones del denunciante dirigidas al COPAC, que ya se hacía constar en el momento en que presentó las denuncias citadas, de 03/03/2005. Incorpora acta notarial de fecha 03/03/2005, que recoge las manifestaciones realizadas en ese momento por el vicesecretario del COPAC (cita del acta): “existen numerosos mensajes y correos electrónicos parece procedentes del Sr… (el denunciante) y por los que según el Sr. ***NOMBRE.1 se sienten insultados, sin especificar a quién se refiere la pluralidad del término. Además requiere al Sr… (por entonces Secretario del COPAC) para que baje “unos cuantos” escritos que parece estarían almacenados en algún lugar de las dependencias del Colegio”. . Solicita que la Inspección de la AEPD determine el estado de registro y conservación de documentos del fichero de titularidad pública con código ***CÓD.1 y se le entregue copia de la inscripción en el Registro General de Protección de Datos del citado fichero y de las sucesivas modificaciones. . Solicita que se requiera a la Secretaría General Técnica del Ministerio de Fomento si existió orden al COPAC para la destrucción de documentos de carácter público relacionados con las potestades públicas que le han sido conferidas y procedimiento seguido para la hipotética destrucción de documentos que forman parte del Patrimonio Histórico Nacional; e información sobre las inspecciones realizadas al COPAC en relación con la custodia de documentos de carácter público y el incumplimiento de las previsiones en materia de protección de datos personales parte del citado colegio profesional. Con fecha 23/06/2014, el denunciante presentó un nuevo escrito ante la AEPD, que fue calificado como recurso de reposición contra la resolución de DD/MM/AA, que acordó inadmitir la reclamación de tutela de derechos formulada. Este recurso fue desestimado mediante resolución C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/43 de DD/MM/AA, en la que se acordó, igualmente, que las nuevas cuestiones planteadas en el recurso, sobre aspectos no subsumibles en el correcto ejercicio del derecho de acceso, fuesen analizadas en el marco del expediente de investigación E/******/2***. Entre las cuestiones planteadas en el citado escrito de recurso de reposición, ajenas al derecho de acceso que motivó el procedimiento de tutela de derechos, se mencionan las siguientes: . Reitera el contenido de su solicitud de tutela de derechos, de DD/MM/AA, en la que formulaba expresamente las siguientes peticiones: . Por otra parte, en el citado escrito de 23/06/2014, el denunciante señala que sus datos personales “continúan siendo tratados y cedidos indiscriminadamente sin mi autorización a través del enlace http://............, utilizándose una publicación del C.O.P.A.C.” QUINTO: A la vista de los hechos denunciados, en fase de investigación previa, por los Servicios de Inspección de la AEPD se llevaron a cabo las actuaciones siguientes: 1. Se revisó la información aportada en el marco de TD/*****/2*** y no se encontró en ella un documento generado por el COPAC y notificado al denunciante con fecha DD/MM/AA. 2. Con fecha 18/03/2014 se solicitó a la Subdirección General de Registro General de Protección de Datos copia de la información relativa al registro de los ficheros a nombre de la entidad COPAC que consten inscritos o hayan estado inscritos en el Registro General de Protección de Datos. 3. Los ficheros declarados con fecha 20 de marzo son: a. Un fichero de nivel de seguridad medio, tratamiento mixto y titularidad pública: Expedientes Deontológicos. b. Dos ficheros de nivel de seguridad bajo y titularidad pública: Colegiados y Peritos c. Cuatro ficheros de nivel de seguridad bajo y titularidad privada: Colegiados y Clientes, Curriculum Vitae, Portal de Empleo y Recursos Humanos. 4. De las actuaciones realizadas por la Inspección de Datos en la sede social del COPAC, con fecha de 14/04/2014, y de la información remitida por la misma con fecha de 23/04/2014, se desprende lo siguiente: a. El COPAC dispone de un libro de actas protocolizado en el que se recogen los acuerdos de la Junta de Gobierno del COPAC, al menos desde el año 2004. b. Por otro lado, el COPAC mantiene un registro con la documentación generada por la Comisión Deontológica, que constituye el fichero Expedientes Deontológicos, y que contiene los expedientes iniciados a instancia de los colegiados por hechos que supuestamente atentan contra la profesión. c. Los representantes de la entidad manifestaron que estos expedientes no figuran en un libro protocolizado pues, según constan en un informe jurídico de fecha 09/04/2014, que se adjunta a las actuaciones, “… ninguna ley o norma general impone a los Colegios Profesionales la llevanza de un libro legalizado de actas de los órganos con competencia disciplinaria o deontológica”. d. La información relativa a los expedientes deontológicos del denunciante se encuentra bloqueada, almacenándose de forma separada del fichero de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/43 Expedientes Deontológicos en una serie de carpetas aparte, y a las que sólo tiene acceso el Responsable de Seguridad, con finalidad de atender las reclamaciones y procedimientos judiciales en curso, ya que el denunciante ejerció su derecho de cancelación en documento remitido por burofax el DD/MM/AA, con sello de entrada en el COPAC el DD/MM/AA. Actualmente hay al menos un procedimiento judicial abierto entre el denunciante y el COPAC e iniciado en el año 20**. e. Los representantes de la entidad manifestaron que, con posterioridad a su solicitud de cancelación, el denunciante ha continuado enviando información al COPAC. El procedimiento establecido para su tratamiento es el siguiente: imprimirlo, almacenarlo en la correspondiente carpeta ordenada por fecha y borrar la información del ordenador. Los inspectores actuantes verificaron que en dichas carpetas todos los documentos están ordenados por fecha. f. Durante las actuaciones se comprobó que la documentación relativa a denuncias presentadas el 03/03/2005, registradas con números ***NÚMERO.1, ***NÚMERO.2 y ***NÚMERO.3, se encuentran almacenadas en dichas carpetas. Según la información remitida por el COPAC, existe una resolución sobre las mismas con sello de 26/05/2005, pero sin que exista justificante de haber sido recibida por el denunciante. g. Se requiere acceso al supuesto documento remitido por el COPAC con destino al denunciante en fecha DD/MM/AA mediante burofax, verificándose que existe un burofax remitido por el denunciante al COPAC con la misma fecha, documento que se encuentra en el archivo de documentos bloqueados asociados al afectado. No hay evidencia de un burofax emitido por el COPAC con dicha fecha. h. Los inspectores actuantes mostraron a los representantes de la entidad la respuesta enviada por el COPAC al juzgado, de fecha 22/11/2013, en la que informaban que no localizaban la documentación requerida. A la vista del mismo manifestaron que dicha respuesta se envió debido a la falta de tiempo y que posteriormente una vez localizada se remitió completa. 5. Se consultan, además, las entradas anteriores a 2004 que figuran en las mencionadas carpetas verificándose que con fecha 21/06/2001 existe una carta en la que se hace referencia a una documentación remitida por e-mail; con fecha 09/06/2003 figura una denuncia presentada contra la Junta de Gobierno por incumplimiento de los estatutos; y en fecha de 19/05/2004 una petición de información sobre una oferta de empleo. 6. Los representantes de la entidad manifestaron que la información que se almacena en las carpetas de Expedientes Deontológicos es toda la que se genera durante la incoación de un procedimiento deontológico. Aclaran que en ocasiones entre la denuncia y la resolución no es necesario recabar más documentación, siendo suficiente con la remitida por el interesado para emitir dicha resolución. 7. Los representantes de la entidad manifestaron que el procedimiento establecido para el tratamiento de la información enviada por correo electrónico procedente del afectado, debido a que ha solicitado la cancelación de sus datos personales, consiste en imprimir el documento, ponerle sello de registro de entrada, archivarlo en la carpeta de datos bloqueados y proceder a su inmediato borrado del sistema de información, como se ha detallado anteriormente. 8. En relación con las recomendaciones remitidas al COPAC con fecha 16/02/2011, en el marco del expediente E/00804/2010, para la adecuación a la vigente normativa de protección de datos, se realizan las siguientes comprobaciones: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/43 a. Existe un Documento de Seguridad revisado a fecha enero de 2014, si bien en el documento de revisiones periódicas consta como fecha de la última revisión enero de 2013 por error. b. Se comprueba que dicho documento está accesible a todos los empleados en una carpeta compartida y los representantes de la entidad muestran los certificados de formación de su personal en materia de protección de datos y documento de seguridad realizada en diciembre de 2011. c. Según consta en el registro de auditoría, la última se llevó a cabo en junio de 2013, entregándose a los inspectores actuantes el informe de la misma. Se ha comprobado que el informe recorre los artículos relativos al Título VIII del R.D. 1720/2007, correspondientes a las medidas de seguridad de nivel bajo y medio, incluyendo una serie de puntos de comprobación y con un anexo de recomendaciones de mejora. d. Los representantes de la entidad mostraron el registro de incidencias, con la última entrada de 08/01/2014 debido a la realización de copias de seguridad, siendo resuelta en fecha 03/02/2014, revisando que la copia de seguridad está correctamente realizada. e. Se comprueba que en el Documento de Seguridad existe un apartado con el procedimiento de copia de seguridad y con el procedimiento de recuperación. f. En relación al registro de soportes, en este caso de los correos electrónicos que periódicamente se remiten con ficheros con datos de carácter personal, los representantes de la entidad muestran el registro de salida de soportes en el que se refleja la autorización del responsable de seguridad. g. En relación al procedimiento de gestión y distribución de contraseñas, en el Documento de Seguridad se especifica que la contraseña tendrá una duración máxima de 180 días. Los representantes de la entidad declararon que no existen usuarios genéricos ni usuarios con roles compartidos. Los inspectores actuantes comprobaron que en la creación de un nuevo usuario, se distribuye una contraseña de un sólo uso generada automáticamente y sin conocimiento del responsable de seguridad, y que el sistema obliga a cambiarla de forma inmediata, obligando a introducir un número mínimo de caracteres que incluyan tres de las siguientes categorías: mayúsculas, minúsculas, dígitos y caracteres no alfanuméricos. Se comprueba a su vez que es necesario introducir la contraseña para acceder al sistema. h. Los representantes de la entidad manifestaron que se ha integrado el sistema de autenticación del servidor con el de usuario de Windows. i. Los representantes de la entidad, en relación a la destrucción de soportes, entregaron un certificado de destrucción confidencial de documentación. Declararon que hasta ahora no se ha desechado ningún soporte electrónico si bien han establecido contactos con una empresa para en caso necesario contratar sus servicios. j. El procedimiento de autorización formal para salida de soportes está documentado en el Documento de Seguridad. Los representantes de la entidad aportan una autorización de entrada/salida de soportes. k. El representante de la entidad declara que los ordenadores con datos personales están inventariados empleando el número de etiqueta de la máquina. Esta información está accesible por el informático de la empresa y, debido a la hora que ha alcanzado la inspección, ya se encuentra ausente de los locales de la misma, por lo que se requiere al COPAC para que en el plazo de diez días hábiles envíen copia del inventario de soportes con datos personales. Se remite, con fecha de entrada en registro de 24/04/2014, un inventario de soportes en el que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/43 l. recoge el nombre del ordenador y el número de serie, además de otro listado con el nombre del ordenador y la identificación del usuario con iniciales. En la parte final del inventario se detalla cuáles de ellos tienen datos personales y cuáles no. El representante de la entidad manifestó que el procedimiento de atención a los ejercicios de los derechos ARCO se ha cambiado, y que las solicitudes ya no son atendidos por la Junta de Gobierno sino directamente por el Responsable de Seguridad, para ajustarse así a los plazos marcados por la ley. 9. En relación a las manifestaciones del denunciante para que se requiera a la Secretaría General Técnica del Ministerio de Fomento si existió orden al COPAC para la destrucción de documentación administrativa e información de las inspecciones realizadas sobre la custodia de documentos de carácter público que realiza el COPAC, los servicios de inspección estimaron que en las actuaciones de inspección no procedía realizar dichos requerimientos. 10. El día 04/07/2014, el funcionario actuante levanto diligencia para comprobar si en la dirección http://............ aparecía alguna referencia al denunciante, pudiendo constatar que dicha dirección da acceso al número ** de la ...... XXXXX, de fecha ***MESES.1 de ***AÑO.1, y que en la página ** de la ...... (página ** del contenido subido a Internet) aparece una referencia explícita al denunciante con el detalle de su nombre y apellidos. 11. ISSUU.com es un portal para subir y compartir ....... La cuenta en ISSUU llamada “COPAC” está presuntamente atribuida al Colegio Oficial de Pilotos de la Aviación Comercial. 12. Con fecha 08/08/2014 se solicitó a la entidad COPAC la siguiente información en relación a la cuenta que el Colegio posee en el sitio web issuu.com/copac: a. Fecha de creación de dicha cuenta. b. Procedimiento de gestión y mantenimiento de los contenidos en ella alojados. 13. Con fecha de entrada en la Agencia de 18/08/2014, se recibió, en el que se indica lo siguiente:  Que en el sitio web Issuu.com: “La cuenta del Copac fue creada en el 2009. La primera publicación que se introduce en el sistema es de fecha 26 de mayo de 2009.”  Que en relación a la administración de los contenidos: “La gestión se realiza directamente por el Departamento de Comunicación del COPAC. La cuenta se encuentra asociada al Responsable de Comunicación.” SEXTO: Con fecha 17/12/2014, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a COPAC, por la presunta infracción del artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. b)de la citada Ley Orgánica, pudiendo ser sancionada con multa de 40.001 euros a 300.000 euros, de acuerdo con el artículo 45.2 de la misma. SEPTIMO: Notificado el acuerdo de inicio, COPAC presentó escrito señalando que el citado acuerdo engloba dos hechos independientes, no sólo en su fundamento y materia, sino a su vez en el espacio de tiempo ocurrido, y solicita que tales hechos sean resueltos de forma independiente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/43 Se refiere el COPAC, en concreto, a la inspección realizada por la AEPD en su sede, en fecha 14/04/2014, tras denuncia presentada por el denunciante, relacionada con la pérdida de determinada documentación que contenía datos de carácter personal del mismo, la cual traía causa de una información solicitada al COPAC por parte del Juzgado de Primera Instancia n°** de Madrid en el marco del Procedimiento Ordinario ****/20**. A este respecto, añade que la documentación requerida, también relativa a unos hechos denunciados por el denunciante, en fue aportada al Juzgado con posterioridad, mediante escrito de 21/04/2014, presentado el siguiente día 22. En el mismo acuerdo de apertura, en su punto 4.
2. f)consta que durante la inspección realizada se verificó que “la documentación relativa a las denuncias presentadas el 03/03/2005, registradas con número ***NÚMERO.1,***NÚMERO.2 y ***NÚMERO.3, se encuentran almacenadas en dichas carpetas...”. A su vez, en la propia Inspección, se mostró a los inspectores de la AEPD las respuestas enviadas por el COPAC al juzgado, de fecha 22/11/2013. Por otra parte, en la última Vista que tuvo lugar en el Juzgado n°** de Madrid, la representación del denunciante señaló que el COPAC se encontraba pendiente de resolución de la Inspección realizada en el mes de abril por parte de la Agencia Española de Protección de datos, por lo que solicitó al Juzgado que oficiaran a la AEPD para que informaran de la resolución de dicha Inspección. Es por ello que el propio Juzgado ha instado de oficio a la Agencia Española de Protección de Datos a la resolución de la misma. OCTAVO: En relación con la infracción de lo dispuesto en el artículo 6 de la LOPD, imputada en el acuerdo de apertura del procedimiento de fecha 17/12/2014, la entidad COPAC presentó escrito de alegaciones en el que solicita se dicte resolución favorable a la misma, conforme a los siguientes argumentos: . El COPAC es un colegio profesional y, como tal, se crea por el poder público para cumplir las funciones establecidas en el artículo 5 de la Ley 2/1974. Para poner a disposición de los colegiados y otros interesados información relevante, desde mayo de 2000 edita trimestralmente la ...... XXXXX, que se remitía por correo y que, desde el número 49 puede descargarse a través de la web copac.es (en esta web pueden accederse los números 49 a 73 de la ......s), permaneciendo las anteriores almacenadas como ......s históricas que pueden ser solicitadas para su consulta. Posteriormente, en el año 2009, se pusieron en marcha las e-newsletter y se registró el perfil del COPAC en el portal ISSUU, para la publicación de la ...... XXXXX. ISSUU es una plataforma de edición digital dónde se pueden publicar artículos, subir ...... ya editadas o dónde determinados usuarios, previamente registrados, pueden compartir ....... . En relación con la publicación del número ** de la ...... XXXXX, en el que aparecen los datos del denunciante, que ha dado lugar a la imputación de una posible infracción por incumplimiento de lo dispuesto en el artículo 6 de la LOPD, la entidad COPAC cita el concepto de fuentes accesibles al público recogido en el artículo 3 de la citada Ley Orgánica, y advierte que los datos a los que hace referencia dicha publicación, por su relevancia, se hicieron eco en determinados medios de comunicación, que se consideran fuente de acceso público, los cuales todavía pueden ser consultados en algunos casos a través de sus portales digitales, y señala los siguientes: http://eIpais.............1 httip://elpais.............2 http://hemeroteca.............3 Además, en algunos portales relevantes del ámbito del Derecho se hace constar, de forma C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/43 íntegra, la resolución a la que se refiere el artículo relativo al denunciante publicado en de la ......: http://............4 http:I/............5 Y otros portales independientes como: http:I/............6 En este último portal el propio denunciante publicó un artículo de opinión sobre el mismo asunto, también publicado en la web www........com, y además participó activamente en diferentes foros bajo el seudónimo “YYYYYY” (el COPAC recibió correos electrónicos del denunciante bajo este seudónimo firmados con su nombre y apellidos), por lo que él mismo hizo pública la mencionada resolución (aporta copia de un artículo fechado el 17/12/2004, en el que figura como autor “YYYYYY” y que tiene como asunto “XXXXXX. . Estos hechos ocasionaron con anterioridad varias resoluciones de la Agencia, desde el año 2005, destacando el PS/******/2***, en el que se declara que “la intervención del COPAC en este asunto, corresponde a sus funciones de Corporación de Derecho Público”, y añade que tras varias reclamaciones, ha adoptado todas las medidas y recomendaciones necesarias para el cumplimiento y adecuación de los procedimientos del COPAC a la legislación vigente en materia de Protección de datos, para evitar posibles fallos no voluntarios en dicha materia. . Conforme a lo establecido en el artículo 1 de la Ley 2/1974, de 13 de febrero, que regula los Colegios Profesionales, el COPAC es una corporación de derecho público, con personalidad jurídica propia y plena capacidad para el cumplimiento de sus fines. Como tal debe publicar de manera clara y estructurada la información relevante para garantizar la transparencia de su actuación pública, incluso en su sede electrónica, estableciendo mecanismos adecuados para facilitar la accesibilidad, la interoperabilidad, la calidad y la reutilización de la información publicada así como su identificación y localización. Toda la información será comprensible, de acceso fácil y gratuito y estará a disposición de las personas con discapacidad en una modalidad suministrada por medios o en formatos adecuados de manera que resulten accesibles y comprensibles, conforme al principio de accesibilidad universal y diseño para todos. Estas obligaciones se mencionan en la nueva legislación en materia de Transparencia, Ley 19/20 13 de 9 de diciembre. El COPAC tiene obligación de facilitar información a los colegiados y a cualquier interesado que lo solicite, que se cumple a través de la ......, en la que se aúnan noticias, ...... de interés, legislación en la materia y comentarios de profesionales. Por ello, en ocasiones pueden solicitarle ejemplares antiguos, de los que no pueden ser consultados directamente en la página web. Es relevante señalar que las ...... concernientes a números relacionados con el *** (publicación objeto de la denuncia), el 29 o el 70 han sido subidas a ISSUU por peticiones recibidas telefónicamente o por email en el primer semestre del 2014, para consultas y/o estudios de postgrado (o así lo expresaron telefónicamente). Por lo que atendiendo al carácter expuesto anteriormente por éste Colegio Profesional en su afán de transparencia y facilidad de comunicación de interés a los usuarios fueron subidas al portal ISSUU. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/43 . El portal de ISSUU única y exclusivamente es usado por parte del COPAC para subir las ......s del Colegio. Todas las ......s del COPAC tienen carácter gratuito y público. La cuenta en ISSUU fue creada por parte del COPAC en el año 2009. El Gabinete de Prensa del COPAC, no publica todas las ......s, sino que lo hace conforme a rotaciones en el tiempo y demanda de los usuarios, conforme al principio de transparencia que rige el funcionamiento del propio colegio. Según la información facilitada por ISSUU: - COPAC a través de ISSUU sólo tiene dado de alto desde el año 2009 “39 visitantes- perfil” o usuarios, incluidos los propios de su Gabinete de Prensa. - De las ......s eliminadas por parte del COPAC, ISSUU no almacena ningún rastro, por lo que no ha sido posible conocer cuántos usuarios accedieron al número **, pero sí consta –y se hace referencia a ellos por la proximidad con la publicación señalada- cuántos accedieron al número ** (4 perfiles), y al número ** (3 perfiles). Por tanto, las ......s publicadas en el portal ISSUU en relación a ediciones antiguas tienen un alcance mínimo y son consultadas sólo por los solicitantes (aporta estadísticas facilitadas por ISSUU respecto a las visitas realizadas a cada número de la ...... “XXXXX”, fechadas el día 08/01/2015). El Gabinete de Prensa del COPAC facilita la ...... considerando que cualquier acuerdo o decisión de los Órganos de Gobierno del Colegio que pueda afectar al ejercicio de la profesión en un determinado territorio debe ser pública y de acceso fácil, inmediato y sin coste para profesionales colegiados y no colegiados. . Tras el ejercicio de derecho de cancelación por parte del denunciante, tal y como pudo comprobar la Agencia Española de Protección de Datos, el COPAC no dispone de ningún dato de carácter personal sobre su persona a excepción de aquellos datos procesales inherentes al Procedimiento Ordinario ****/20** seguido en el Juzgado de Primera Instancia n°** de Madrid, que están bloqueados a la espera de sentencia por parte de .........., datos que han sido aportados al escrito de demanda, extraídos de fuentes de acceso público, o correos enviados con posterioridad al ejercicio de derechos. . En cuanto al nombre del denunciante que aparece publicado en la ...... XXXXX nº *** del COPAC, señala: - El nombre del denunciante aparece única y exclusivamente como referencia a una Resolución Dictada por el ***ORGANISMO.1, por la que se procedía al archivo de las actuaciones incoadas, como consecuencia de una denuncia interpuesta por el mismo. Esta resolución fue de interés general ya que se denunciaban tratos de favor al CESDA frente a los ofrecidos a otras FTO’s (Flight Training Organizations). Aunque los actos adoptados por la ***ORGANISMO.2 no son públicos, resolvió el ***ORGANISMO.3 rechazó el recurso del denunciante y las resoluciones del ***ORGANISMO.3 tienen carácter público, y pueden ser consultadas en su propia web a través de buscadores. Como se extrae de la propia web de la ***ORGANISMO.4, ha asumido desde su creación un compromiso de máxima transparencia informativa. En concreto, por imperativo legal la ***ORGANISMO.4 hace públicas las resoluciones del Consejo de la ***ORGANISMO.4, el inicio de los procedimientos sancionadores y de control de concentraciones, así como los informes sobre determinados mercados, sobre proyectos normativos o ayudas públicas y los informes elaborados en la primera y segunda fase del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/43 procedimiento de control de concentraciones económicas. Por todo ello, el COPAC canceló los datos del demandante, a excepción de aquellas informaciones que traen causa en el litigio abierto, aquellas sentencias y resoluciones que son públicas o bien han sido publicadas por medios de comunicación y que fueren un derecho de información a los interesados en el litigio. . Reitera la adecuación de la Institución y sus medios a la legislación vigente en materia de Protección de Datos y añade que en ningún momento ha pretendido ofender o afectar en modo alguno a ninguna persona, y mucho menos al denunciante. . El uso que realiza el portal ISSUU respecto a sus ......s y/o contenidos publicados en el mismo, lo hace atendiendo a la legalidad. . El COPAC reconoce la publicación temporal del n°*** de la ...... XXXXX, acorde a su política de transparencia, y en aras a lo recogido en la Ley 19/2013 de 9 de diciembre de Transparencia, a petición de un colegiado. NOVENO: Por su parte el denunciante presentó escrito de personación en el procedimiento, en el que, además, formula alegaciones sobre la calificación jurídica de los hechos que determinaron la imputación y propone la práctica de prueba: . El artículo publicado en el número ** de la ...... XXXXX insertada en el sitio web httl://......, que incluye los datos personales del denunciante, motivó los procedimientos AAPP/00***/20**, que sería anulado por la Audiencia Nacional y confirmado por el Tribunal Supremo por la calificación dada al COPAC como Administración Pública (STS de DD/MM/AA); PS/******/2***, como consecuencia de la ejecución de la Sentencia del Tribunal Supremo anteriormente mencionada; y Resolución R/0****/2008, de los que se dejan señalados expresamente los Antecedentes Primero a Quinto para acreditar la desobediencia a la orden dada por el Director de la Agencia Española de Protección de Datos y la pertinaz conducta del C.O.P.A.C. . El Sitio Web de Issuu se promociona como un “mundo de ...... gratis”, no requiriéndose clave alguna para acceder a su información. Además, en el enlace “Sobre issuu: http://issuu.com/about” se dice: “Con más de 15 millones de ......, issuu es la plataforma de edición digital de más rápido crecimiento del mundo. Millones de lectores ávidos vienen aquí cada día para leer las ...... gratuitas…”. . En el Procedimiento Sancionador PS/******/2***, la Agencia evitó arbitrariamente calificar los hechos denunciados como comunicación ilícita a tercero de datos personales en los términos previstos en el artículo 11.1 LOPD y sobre lo que no entró el Tribunal Supremo en el procedimiento de referencia, ya que no se había alegado por las partes. La primera acepción sobre el término “publicación” del diccionario de la Real Academia de la Lengua dice: “Acción y efecto de publicar”. Y con respecto a publicar: 1. tr. Hacer notorio o patente, por televisión, radio, periódicos o por otros medios, algo que se quiere hacer llegar a noticia de todos. 2. tr. Hacer patente y manifiesto al público algo. Publicar la sentencia. 3. tr. Revelar o decir lo que estaba secreto u oculto y se debía callar. El artículo de la ...... XXXXX n° *** que contiene sus datos personales fue incluido por el “Responsable de Comunicación” del COPAC en una cuenta cuya titularidad corresponde a este C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/43 Colegio Profesional y, sin su autorización, se comunica a cualquiera de los 15 millones de lectores que tiene y, que pueden acceder gratuitamente al mismo, por lo que el COPAC es el responsable del tratamiento y comunicación ilícitas de los datos personales. Así se refiere en los términos legales de uso de Issuu, en sus apartados 6.
3. c)y 7.d). La infracción se comete desde que los datos son incorporados y se mantienen en la cuenta del COPAC en Issuu y son ilícitamente comunicados indiscriminadamente hasta al menos el 04/07/2014 (fecha de comprobación por la Agencia Española de Protección de Datos). El dies a quo del plazo de la prescripción de la infracción ha de entenderse desde que el denunciante tuvo conocimiento de los hechos y los comunicó a la Agencia. Cierto es que el plazo de prescripción de las infracciones comienza a contarse desde el día en que la potestad sancionadora puede ser ejercitada (CC art.1969), esto es, desde el día en que se comete la infracción, que, normalmente, coincide con la fecha de finalización de la actividad o con la del último acto en que la infracción se consuma (en las infracciones continuadas). Pero, en caso de infracciones que consistan en conductas u operaciones complejas de carácter continuado (semejantes al concurso real de delitos), el comienzo del plazo prescriptivo ha de venir referido a los actos finales y no a los iniciales. Con lo cual, el COPAC, desde su cuenta en Issuu, ha comunicado los datos personales del interesado al menos hasta el 04/07/2014 y específicamente: - A D. F.F.F., letrado del interesado que accede a ese Sitio Web y comprueba que sus datos personales están publicados en la cuenta del COPAC y así lo expone ante el Juzgado de Primera Instancia n° ** de Madrid en la vista judicial celebrada. - A los Inspectores de la Agencia Española de Protección de Datos, que acceden a ese Sitio Web, sin privilegio alguno, y comprueban los hechos. . Son tres las infracciones cometidas por el COPAC: desobediencia de la orden del Director de la AEPD al no haber censurado definitivamente el artículo concernido en la ...... XXXXX n° ***, el tratamiento y mantenimiento ilegal de datos personales hasta al menos el 4-7-2014 en una cuenta cuya titularidad corresponden al colegio, no comunicada a la AEPD, y comunicación ilícita de datos personales hasta la fecha indicada, supone un “concurso real” de infracciones cuyo plazo de prescripción ha de contarse desde el último acto constatado; tipificadas en los artículos 44.3.b), 44.3.
4. k)(por reiteración en la conducta ha de ser considerado como infracción muy grave) y 44.4.
5. c)de la LOPD. . El COPAC no ha reparado los daños ocasionados en los últimos 10 años al denunciante (ya desde el PS/******/2***), ni concurren elementos que permitan una atenuación de la sanciones, más bien al contrario, dada la actitud “contumaz, rebelde, decidida y terminante” de dicha entidad. Posteriormente, con fecha 10/02/2015, el denunciante remitió un correo electrónico en el que solicita respuesta a su escrito de personación y propuesta de prueba y advierte sobre la dos escritos que pretende aportar en el trámite de audiencia en los que el COPAC indica que no constan los datos del denunciante en sus bases de datos. Asimismo, el 12/02/2015 formuló una queja por la falta de respuesta a la solicitud de práctica de prueba. DECIMO: Con fecha 18/02/2015, se inició el período de práctica de pruebas, teniéndose por reproducidos a efectos probatorios la denuncia interpuesta y su documentación, la solicitud de tutela de derechos que dio lugar al procedimiento señalado con el número TD/******/2***, la resolución dictada en el mismo y el recurso de reposición interpuesto contra dicha resolución; así C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/43 como los documentos obtenidos y generados por los Servicios de Inspección y el Informe de actuaciones previas de inspección que forman parte del expediente E/******/2***. Asimismo, se tuvieron por presentadas las alegaciones al acuerdo de inicio formuladas por COPAC y documentación adjunta y las alegaciones del denunciante. Por otra parte, el instructor del procedimiento acordó la práctica de las siguientes pruebas: 1. Requerir a la entidad COPAC copia de la información que le fue facilitada por “ISSUU”, a la que se refiere en su escrito de alegaciones (“39 visitantes-perfil”; accesos a los números ** y **3); y documentación que acredite la fecha en que el número ** de la ...... XXXXX fue retirada del sitio web ISSUU, según manifiesta en el mismo escrito. En respuesta a este requerimiento, el COPAC informó que a través del propio portal, accediendo como usuario, puede descargar datos estadísticos actuales, generados en ese mismo momento, y aporta impresiones de pantalla obtenidas en fecha 20/02/2015. Señala que son 40 los usuarios que acceden al COPAC y añade nuevamente que no existe rastro de las ......s eliminadas, como el número ** de la ...... XXXXX. En cuanto a los accesos que pudo haber tenido, realiza una estimación considerando los datos de otros números en fechas similares. Adjunta datos estadísticos obtenidos del citado portal sobre las lecturas realizadas en cada número, las impresiones de cada número y el tiempo medio de estancia en el mismo señalando que de los números recientes se puede ver una media de lecturas de 200; la lecturas de números del 2013 no llegan a una media de 100 y de los números de los años 2009 y 2010 la media de las lecturas es de 1 o 2. Finalmente, reitera que no es posible concretar las fechas de subida o eliminación de un número en el portal (una vez eliminado no se guarda ningún rastro), aunque la Responsable del Gabinete de Prensa confirma, por un acceso que realizó en septiembre del 2014, del que no tienen constancia probatoria, que el número ** no se encontraba en el portal. 2. El instructor del procedimiento accedió al sitio web de la ***ORGANISMO.5 (www.........
6. es)y se incorpora la información disponible en relación con el expediente ****/**, del ***ORGANISMO.3. La Resolución dictada en dicho procedimiento a la que se accede no contiene el detalle de los datos identificativos del denunciante, que han sido suprimidos. 3. El instructor del procedimiento realiza una búsqueda en Internet de la URL http://............ e incorpora a las actuaciones la información accedida a través de los siguientes enlaces: issuu..... Ningún resultado de la búsqueda posibilita el acceso al número ** de la ...... “XXXXX”. 4. Se acuerda incorporar a las actuaciones el resultado de las búsquedas realizadas a través del buscador de Internet Google de las URLs citadas por la entidad COPAC en su escrito de alegaciones a la apertura del procedimiento sancionador de referencia: . http://eIpais.............7: se accede a un artículo de DD/MM/AA, titulado “..............”, que no contiene referencias a los datos identificativos del denunciante. . http://elpais.............8: sin resultados . http://hemeroteca.............3: sin resultados. . http://............4: se accede a una resolución del ***ORGANISMO.3, dictada en el recurso ****/**, en la que constan los datos personales del denunciante relativos a nombre y apellidos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/43 . http://www.............9: sin resultados . http:I/............6: se accede a una noticia con el título “................, fechada el DD/MM/AA, que no contiene referencias a los datos identificativos del denunciante. 5. El instructor del procedimiento accede a la dirección URL “http://issuu....” e incorpora a las actuaciones el documento “Términos de Servicio”, que aparece insertado en la web www.issuu.com en idioma inglés. El denunciante solicitó la traducción de este documento, por lo que fue advertido sobre lo dispuesto en el artículo 17.3 del Reglamento del procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto, según el cual no se estimarán como prueba pertinente los documentos que los interesados puedan aportar en cualquier momento de la tramitación del procedimiento. No obstante, se dispuso la traducción de los apartados 4, 6, 7 y 9 de dicho documento. En este documento se establece que el usuario “será el responsable único de todas sus Contribuciones de usuario y por la presente reconoce y confirma que el Servicio Issuu se limita a proporcionarle el medio para colaborar y ofrecer sus Contribuciones de usuario. Por lo tanto, será usted el único responsable de todas y cada una de sus Contribuciones de usuario y de las consecuencias que conlleva cargarlas. Al cargar su Contribución de usuario, confirma, manifiesta y garantiza que: