1/10 Procedimiento nº.: A/00030/2014 ASUNTO: Recurso de Reposición Nº RR/00358/2014 Examinado el recurso de reposición interpuesto por D. A.A.A., actuando en representación de la entidad SIDECU, S.L. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento de apercibimiento, A/00030/2014, y en base a los siguientes, HECHOS PRIMERO: Con fecha 2 de abril de 2014, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento A/00030/2014, en virtud de la cual se acordaba Apercibir a SIDECU, S.L., por la vulneración de lo dispuesto en el artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como leve en el artículo 44.2.c), y por vulneración de lo dispuesto en el art. 4.5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.c). Dicha resolución, que fue notificada al recurrente en fecha 7 de abril de 2014, fue dictada previa la tramitación del correspondiente procedimiento, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado procedimiento A/00030/2014, quedó constancia de los siguientes: PRIMERO: Consta que en fecha 28 de mayo de 2013 tiene entrada en esta Agencia escrito de Dña. B.B.B., mediante el que denuncia que, a pesar de haber manifestado no consentir el tratamiento de sus datos por parte de la entidad denunciada al solicitar la baja del servicio en noviembre de 2012, ha recibido por parte de la entidad denunciada SIDECU, un nuevo escrito en el que se le comunicaba que, salvo su negativa expresa y por carta, autorizaba a la entidad SIDECU a incorporar sus datos a un fichero con fines promocionales, comerciales o de marketing y susceptibles de ser comunicados a otras empresas. SEGUNDO: Consta que el responsable del fichero es la entidad SIDECU, S.L. TERCERO: Consta que la denunciante Dña. B.B.B., solicitó la baja en el centro ABASTOS con fecha 15 de noviembre de 2012. CUARTO: Consta que, en dicha solicitud de baja, hay unas “CONDICIONES DE PROTECCION DE DATOS” entre las que se recoge un apartado “en el supuesto de que el abonado no consienta el tratamiento o comunicación de sus datos personales para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá marcar la siguiente casilla ” que, en este caso, ha sido marcada por la denunciante, no consintiendo con ello al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 posterior tratamiento. QUINTO: Consta que, a pesar de encontrarse la casilla marcada, la entidad responsable del fichero SIDECU, S.L. ha enviado a la denunciante, en mayo de 2013 una carta en la que se le solicita su consentimiento para incorporar sus datos a un fichero propiedad de SIDECU que tiene como finalidad la gestión de los clientes, premiar su fidelidad y mantenerlos informados (envío de boletín de noticias), por cualquier medio (electrónico o no), de todas las ofertas de productos, y/o servicios y/o promociones, incluyendo el análisis y la formación de perfiles y, en general, la realización de acciones comerciales, de promoción y/o marketing relacionadas con las actividades propias del objeto social de SIDECU, S.L., así como el deporte, ocio, salud, bienestar, material deportivo, proveedores de transporte, seguros, servicios inmobiliarios, financieros y bancarios, publicidad y la prestación de servicios sin valor añadido. Asimismo, en dicha carta se pone de manifiesto que a los efectos de lo dispuesto en el art. 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, el cliente autoriza a SIDECU, S.L., a remitirle comunicaciones comerciales, promocionales o publicitarias, por correo electrónico o cualquier otro medio de comunicación electrónica equivalente. SEXTO: Consta que, en la solicitud de baja de la denunciante, dentro de las “CONDICIONES DE PROTECCION DE DATOS”, así como en la comunicación recibida en mayo de 2013, se recoge un apartado en el que se señala “Asimismo, el abonado presta su consentimiento para que sus datos personales puedan ser comunicados, con idénticos fines, a las sociedades que en cada momento integren el Grupo SIDECU, (…) y a terceros que, del mismo u otros sectores, contraten o presten tales servicios a SIDECU, S.L., y/o proporcionen al abonado los productos y/o servicios ofrecidos por SIDECU, S.L., o las empresas del Grupo SIDECU. A los efectos previstos en la LOPD, el cliente se da por notificado de tales cesiones.” Con esta comunicación se pretende una cesión de datos a terceros, sin que se pueda conocer la finalidad a la que se destinaran los datos o el tipo de actividad de aquel a quien se pretenden comunicar. TERCERO: D. A.A.A., actuando en representación de la entidad SIDECU, S.L. (en los sucesivo el recurrente) ha presentado en fecha 23 de abril de 2014, con entrada en esta Agencia Española de Protección de Datos, 30 de abril de 2014 recurso de reposición fundamentándolo, básicamente, en • Su disconformidad en la falta de información del art. 5 LOPD, pues consideran que la denunciante fue informada en dos ocasiones de la recogida de sus datos, así como que la resolución no está motivada, puesto que no se recoge la infracción del art. 5 que se imputa y alegan reformatio in peius, puesto que siguen considerando que se ha dado cumplimiento a lo dispuesto en el art. 11.3 LOPD • Con relación a la infracción del art. 4.5 LOPD, manifiesta su disconformidad puesto que consideran que la denunciante consintió el tratamiento de sus datos al darse de alta, e incluso al darse de baja, y que no es hasta que se envía la carta de fecha de 2 de mayo de 2013, que ha motivado este expediente, donde se le informa de una nueva política de protección de datos, cuando ella puede oponerse al tratamiento de sus datos personales. Asimismo, vuelve a manifestar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 • que el art. 16.5 permite la conservación de los datos personales durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado. Solicita la nulidad del acto administrativo impugnado, subsidiariamente anulabilidad y la suspensión del acto administrativo impugnado. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En primer lugar, con relación a las manifestaciones efectuadas por el representante de la entidad denunciada, referido al hecho de que no consideran que haya una infracción del art. 5 LOPD pues la denunciada fue informada en dos ocasiones de la recogida de sus datos, la primera cuando se dio de alta en el gimnasio, y la segunda cuando se dio de baja, es necesario señalar que, tal y como se recoge en el acuerdo de audiencia y en la resolución ahora recurrida, la infracción del art. 5 se produce en relación con el art. 11.3 de la LOPD, tal y como se recoge en el Fundamento de Derecho II de la Resolución. Dicho fundamento comienza señalando: “En el caso que nos ocupa se denunciaba que, tras haber finalizado la relación contractual con la entidad, y a pesar de haber marcado la casilla por la que no se consentía el tratamiento o comunicación de datos personales para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, en fecha posterior, había recibido una comunicación del responsable del fichero, por la cual, salvo negativa expresa, sus datos serían incorporados a un fichero con fines promocionales, comerciales o de marketing, susceptibles de ser cedidos. Se denunciaba, por tanto, dos cuestiones, por una parte, que a pesar de haber manifestado su negativa a recibir nuevas comunicaciones por parte del responsable del fichero, se había producido una nueva comunicación, lo que supone una infracción del art. 4.5 LOPD, y que, en dicha cláusula, se recogía la posibilidad de una cesión de los datos a sociedades que en cada momento integren el GRUPO SIDECU y a terceros que, del mismo u otros sectores, contraten o presten tales servicios a SIDECU S.L., y/o proporcionen al cliente los productos y/o servicios ofrecidos por SIDECU, lo que supone una infracción del art. 5 en relación con el art. 11.3 LOPD.” Con relación a la infracción del art. 5 de la LOPD en relación con el art. 11.3 se señalaba en la Resolución ahora recurrida lo siguiente: “En primer lugar, procede analizar la infracción que se imputa a la entidad denunciada SIDECU, S.L., que es una infracción del art. 5 de la LOPD, en el que se establece lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante (...) 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior.” Por su parte, el art. 11.3 LOPD establece: “Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero, cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquel a quien se pretenden comunicar.” En este sentido, la obligación que impone el art. 5 es, por tanto, la de informar al afectado en la recogida de datos, pues solo así queda garantizado el derecho del afectado a tener una apropiada información y a consentir o no el tratamiento, en función de aquella. Así, de acuerdo con lo establecido en el art. 5 transcrito, la entidad SIDECU, S.L., debe dar a sus clientes la información prevista en el art. 5.1 de la LOPD, y debe suministrarse a los clientes previamente a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. La ley ha querido imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de los afectados. A tal efecto, impone la obligación de que la información figure en los propios cuestionarios e impresos y la refuerza exigiendo que conste de forma claramente legible. En este sentido, la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, que delimita el contenido esencial del derecho fundamental a la protección de los datos personales, se ha pronunciado sobre la vinculación entre el consentimiento y la finalidad para el tratamiento de los datos personales, en los siguientes términos: “el derecho a consentir la recogida y el tratamiento de los datos personales ( art. 6 LOPD) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad específica que también forma parte del contenido del derecho fundamental a la protección de datos. Y, por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aun cuando puedan ser compatibles con éstos (art. 4.2 LOPD), supone una nueva posesión y uso que requiere el consentimiento del interesado. Una facultad que solo cabe limitar en atención a derechos y bienes de relevancia constitucional y, por tanto, esté C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 justificada, sea proporcionada y, además, se establezca por ley, pues el derecho fundamental a la protección de datos personales no admite otros límites. De otro lado, es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de éstos, pues sólo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos concreta. Pues en otro caso sería fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos. De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia”. En este sentido, la LOPD recoge las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a este, y de las finalidades para las que los datos pueden ser recabados y tratados. La citada Sentencia del Tribunal Constitucional 292/2000, al delimitar el contenido esencial del derecho fundamental a la protección de los datos personales, ha considerado el derecho de información como un elemento indispensable del derecho fundamental a la protección de datos al declarar que “…el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. En el caso que nos ocupa, se ha podido comprobar que la entidad denunciada SIDECU, S.L. incumple lo dispuesto en el art. 5.1 LOPD en relación con el art. 11.3 LOPD, en la medida en que se ha podido comprobar que en el párrafo 2º de la cláusula enviada a la denunciante, se recoge que el cliente presta su consentimiento para que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 sus datos personales puedan ser comunicados, con idénticos fines, a las sociedades que en cada momento integren el GRUPO SIDECU, (www.centrosupera.com) y a terceros que, del mismo u otros sectores, contraten o presten tales servicios a SIDECU y/o proporcionen al cliente los productos y/o servicios ofrecidos por SIDECU o las empresas del GRUPO SIDECU. Dicha cláusula es contraria a lo dispuesto en el art. 11.3 LOPD, ya que la información proporcionada, en este caso a la denunciante, no permite conocer el tipo de actividad de aquel a quien se pretendan comunicar. En este sentido, el art. 12.2 del RD. 1720/2007, por el que se aprueba el Reglamento de desarrollo de la LOPD, establece: “Cuando se solicite el consentimiento del afectado para la cesión de sus datos, este deberá ser informado de forma que conozca inequívocamente la finalidad a la que se destinaran los datos respecto de cuya comunicación se solicita el consentimiento y el tipo de actividad desarrollada por el cesionario. En caso contrario, el consentimiento será nulo”. Por tanto, en este caso, procede apercibir a la entidad denunciada por una infracción del art. 5 LOPD, y se va a requerir para que acredite que no va a proceder a comunicar los datos a terceros, en la medida en que no están identificados, tal y como se requiere en el art. 11.3 LOPD.” De acuerdo con lo recogido en la Resolución ahora recurrida, la infracción que se imputa a la entidad denunciada es una infracción del art. 5 en relación con el art. 11.3 de la LOPD, ya que, en el caso del escrito enviado, en el párrafo 2º, se recoge que el cliente presta su consentimiento para que sus datos personales puedan ser comunicados, con idénticos fines, a las sociedades que en cada momento integren el GRUPO SIDECU, (www.centrosupera.com) y a terceros que, del mismo u otros sectores, contraten o presten tales servicios a SIDECU y/o proporcionen al cliente los productos y/o servicios ofrecidos por SIDECU o las empresas del GRUPO SIDECU. Dicha cláusula es contraria a lo dispuesto en el art. 5.1 en relación con el art. 11.3 LOPD, ya que la información proporcionada, en este caso a la denunciante, no permite conocer el tipo de actividad de aquel a quien se pretendan comunicar, es decir, la actividad del destinatario de la información. Además, y tal y como se reproduce en la resolución, el art. 12.2 del Real Decreto por el que se aprueba el Reglamento de desarrollo de la LOPD es necesario que, cuando se solicite el consentimiento para ceder datos personales, el titular de los mismos debe ser informado de tal manera que conozca inequívocamente la finalidad a la que se destinaran los datos y el tipo de actividad desarrollada por el cesionario, pues en caso contrario el consentimiento va a ser nulo. Por tanto, en este caso, se produce la infracción del art. 5.1, en relación con el art. 11.3 LOPD, en la medida en que se solicitaba el consentimiento para ceder datos personales sin que se informara del tipo de actividad de los destinatarios de la información. Por ello, la cuestión referida a una falta de motivación de la Resolución no puede ser tenida en cuenta, en la medida en que, de la información que se facilitaba a la persona denunciante, se solicitaba el consentimiento para ceder sus datos personales sin que se pudiera conocer la actividad de aquel al que se pretenden comunicar. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 Con relación a la cuestión alegada por el representante de la entidad denunciada, referido al hecho de que se ha puesto a su representada en una situación peor en la Resolución por la inclusión del art. 11.3 LOPD, es necesario señalar que dicha infracción y dicha inclusión ya se recogía en el acuerdo de audiencia al apercibimiento, de fecha 17 de febrero de 2014, recibido por la entidad denunciada en fecha 21 de febrero de 2014. En dicho acuerdo de audiencia se concedió un plazo de quince días hábiles para formular alegaciones y presentar las pruebas que consideró convenientes, cosa que efectuó en el Ministerio de Hacienda y Administraciones Públicas en fecha 7 de marzo de 2014, con entrada en esta Agencia el 17 de marzo de ese mismo año. Asimismo, dichas alegaciones fueron contestadas íntegramente en la resolución ahora recurrida por el representante de la entidad denunciada. En segundo lugar, se imputaba a la entidad denunciada la infracción del art. 4.5 de la LOPD, tal y como se recoge en el acuerdo de audiencia pág. 3 y 4. Se hace referencia a las páginas en las que se recoge dicha infracción en el acuerdo de audiencia, en la medida en que el representante de la entidad denunciada, que presenta el recurso de reposición, manifiesta que la misma no se encuentra recogida en el acuerdo de audiencia previa al apercibimiento, y que, por tanto procede la nulidad de la resolución recurrida. La entidad denunciada alegaba que la persona denunciante había prestado su consentimiento para el tratamiento de sus datos personales cuando se dio de alta en el gimnasio, en el año 2005, así como cuando se dio de baja, en el año 2012. Sin embargo, no tiene en cuenta, como se ha señalado en el acuerdo de audiencia en la pág. 1, así como en la Resolución ahora recurrida, que en la solicitud de baja que firmó la denunciante había una cláusula que establecía “en el caso supuesto de que el abonado no consienta el tratamiento o comunicación de sus datos personales para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual deberá marcar la siguiente casilla…” y que la denunciante marcó, no autorizando por tanto el tratamiento de sus datos para finalidades diferentes al mantenimiento, desarrollo y control de la relación contractual. Por tanto, la denunciante, al darse de baja en el gimnasio se opuso al envío de comunicaciones que no tuvieran que ver con la relación contractual. Por ello, cuando el representante de la entidad denunciada manifiesta en su recurso de reposición “que la denunciante consintió expresamente al tratamiento de sus datos con finalidades que excedían del mantenimiento de la relación laboral” en la página 8 de su recurso no se puede tener en cuenta, en la medida en que la denunciante se opuso expresamente al marcar la casilla que así lo indicaba en la solicitud de baja de gimnasio. Así se recoge en la Resolución ahora recurrida cuando se establece, en el fundamento Jurídico IV: “En segundo lugar, se imputa a la entidad denunciada una infracción del art. 4.5 LOPD, el cual establece: “Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados. No serán conservados en forma que permita la identificación del interesado durante un periodo superior al necesario para los fines en base a los cuales hubieran sido recabados o registrados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 Reglamentariamente se determinara el procedimiento por el que, por excepción, atendiendo los valores históricos, estadísticos o científicos de acuerdo con la legislación específica, se decida el mantenimiento integro de determinados datos.” En el caso que nos ocupa, tanto la denunciante con la documentación que aporta en su escrito de denuncia, como la entidad denunciada en su escrito de alegaciones al acuerdo de audiencia previa al apercibimiento, aportan la solicitud de baja de la persona denunciante. En dicho escrito, se recoge una cláusula que señala: “En el supuesto de que el abonado no consienta el tratamiento o comunicación de sus datos personales para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá marcar la siguiente casilla…”, que en este caso se encuentra marcada. Por tanto, la entidad denunciada ha procedido a enviar una nueva comunicación a la persona denunciada, cuando ella ya se había opuesto, en la solicitud de baja, al tratamiento de sus datos personales, marcando la casilla mencionada. En este sentido, la LOPD, con el art. 4.5, está estableciendo la regla de que se cancelen los datos que ya no tengan utilidad, lo que implica que, cuando ya no son necesarios o pertinentes para la finalidad para la que se recabaron se deben cancelar, y por tanto, se considera que no se permite su conservación indefinida. Es cierto que, en algunos supuestos, como alega la entidad denunciada en su escrito de fecha de entrada 17 de marzo de 2014, aludiendo al art. 16 LOPD apartado 5 que establece “los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado”, pero en este caso la relación contractual ya había finalizado, y la denunciante se había opuesto al tratamiento de los datos, con lo cual, para el caso de que, de acuerdo con la normativa, fuera necesario el mantenimiento de los mismos, debería haberse hecho de acuerdo con lo dispuesto en el art. 4.5 ya mencionado, párrafo 2º que establece “no serán conservados en forma que permita la identificación del interesado durante un periodo superior al necesario para los fines en base a los cuales hubieran sido recabados o registrados.” En este sentido, el art. 8.6 del citado Real Decreto establece: “Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados. No obstante, podrán conservarse durante el tiempo en que pueda exigirse algún tipo de responsabilidad derivada de una relación u obligación jurídica o de la ejecución de un contrato o de la aplicación de medidas precontractuales solicitadas por el interesado. Una vez cumplido el periodo al que se refieren los párrafos anteriores, los datos solo podrán ser conservados previa disociación de los mismos, sin perjuicio de la obligación de bloqueo prevista en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente Reglamento.” Este precepto permite la conservación de los datos cuando se trate de supuestos en los que ya ha desaparecido la finalidad para la cual se recabaron, pero teniendo en cuenta que no podrán ser asociados a persona identificada o identificable. En estos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 casos debe producirse un procedimiento de disociación, tal y como se recoge en el art. 3.
- f)LOPD. Por tanto, en este caso procede apercibir a la entidad denunciada por una infracción del art. 4.5 LOPD, y se va a requerir para que acredite que ha procedido al bloqueo de los datos de la persona denunciante.” Por último, y con relación al hecho que manifiestan en su recurso, referido al hecho de que el art. 16.5 permite la conservación de los datos durante los plazos previstos en las disposiciones aplicables, o en su caso, en las relaciones contractuales, señalar que esta cuestión también fue oportunamente resuelta en la Resolución ahora recurrida, en el sentido de que la normativa permite su conservación durante ese tiempo, pero también se establece que “no serán conservados en forma que permita la identificación del interesado durante un periodo superior al necesario para los fines en base a los cuales hubieran sido recabados o registrados”, y que en ningún caso permite su utilización con fines distintos. Por último, solicita la suspensión del acto impugnado de acuerdo con lo dispuesto en el art. 111.2 de la Ley 30/1992. Dicho artículo establece “No obstante lo dispuesto en el apartado anterior, el órgano a quien competa resolver el recurso, previa ponderación, suficientemente razonada, entre el perjuicio que causaría al interés público o a terceros la suspensión y el perjuicio que se causa al recurrente como consecuencia de la eficacia inmediata del acto recurrido, podrá suspender, de oficio o a solicitud del recurrente, la ejecución del acto impugnado cuando concurran alguna de las siguientes circunstancias:
- a)Que la ejecución pudiera causar perjuicios de imposible o difícil reparación.
- b)Que la impugnación se fundamente en alguna de las causas de nulidad de pleno derecho previstas en el artículo 62.1 de esta Ley. En este caso, no se considera que proceda la suspensión del requerimiento efectuado en la Resolución ahora recurrida, y por tanto, se concede un plazo de treinta días desde la notificación del recurso de reposición, para que proceda a cumplir con el requerimiento efectuado en el procedimiento A/00030/2014 y acredite que no va a proceder a comunicar los datos de sus clientes a terceros de otros sectores que contraten o presten servicios a SIDECU; y con relación al art. 4.5 LOPD, se insta a la entidad denunciada a que proceda al bloqueo de los datos de la denunciante, así como su posterior cancelación, cuando hayan transcurrido los plazos en que pueda exigirse algún tipo de responsabilidad derivada de una relación u obligación jurídica o de la ejecución de un contrato, y que informe a esta Agencia aportando certificaciones que acrediten el cumplimiento. III Por lo tanto, en el presente recurso de reposición, la entidad SIDECU, S.L. no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por SIDECU, S.L. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 2 de abril de 2014, en el procedimiento A/00030/2014. SEGUNDO: NOTIFICAR la presente resolución a la entidad SIDECU, S.L.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es