1/13 Procedimiento nº: A/00128/2013 ASUNTO: Recurso de Reposición Nº RR/00048/2014 Examinado el recurso de reposición interpuesto por D. B.B.B. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento de apercibimiento, A/00128/2013, y en base a los siguientes, HECHOS PRIMERO: Con fecha 23 de diciembre de 2013, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento A/00128/2013, en virtud de la cual se acordaba Apercibir a D. B.B.B., por la vulneración de lo dispuesto en el artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.d), de conformidad con lo establecido en el artículo 45.6 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 27/12/2013, fue dictada previa la tramitación del correspondiente procedimiento, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado procedimiento A/00128/2013, quedó constancia de los siguientes: <<…En fecha 6 de febrero de 2012, el denunciado remitió un correo electrónico sin copia oculta, a la denunciante, Dña. A.A.A., a dos direcciones de correo electrónico, entre ellas D.D.D., vinculadas ambas en el mensaje con el pseudónimo que al parecer utiliza en ocasiones la denunciante, E.E.E....>> TERCERO: D. B.B.B. (en lo sucesivo el recurrente) ha remitido por correo electrónico en fecha 7/01/2014 en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente en: <<…Dispone el Fundamento de Derecho III, 2° párrafo del Acuerdo de Audiencia Previa al Apercibimiento, adoptado por usted, que Ia dirección de correo electrónico ha de ser considerada como dato de carácter personal, cuando contiene información acerca de su titular, o en Ia medida en que contenga información que permita identificar a Ia titular. Bien sabe usted, que Ia dirección ...........@hotmaiI.com, no contiene información acerca de su titular, ni permite identificarle, por lo que es imposible deducir a quien pertenece Ia misma, ya que no constan ni nombre ni apellidos del individuo al que pertenece. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 La Sentencia que ahora alega usted no entra a resolver Ia cuestión aquí suscitada, sobre Ia identificación del titular a través del nombre indicado en Ia dirección, sino Ia VINCULACION PERSONAL ENTRE LA DIRECCION Y SU TITULAR. Además se trata de una resolución obsoleta, tal y como se dispone en otra posterior de fecha 18 de marzo de 2011, en Ia que se dispone expresamente “………..Ia dirección de correo electrónico no es dato digno de protección salvo que en Ia misma conste información que permita identificar a su titular, y no podemos asumir como propia ni aceptar Ia doctrina de Ia consulta al servidor mantenida hasta ahora como criterio general, ya que para poder identificar al titular mediante consulta al servidor, no basta con una simple operación para poder identificar al titular perfectamente, ya que entendemos que Ia mercantil titular del servidor está sometida por ley a no revelar los datos a terceros que le han sido confiados para su tratamiento y gestión, salvo que lo haga a requerimiento judicial, por lo que, en el presente caso de autos, no podemos considerar Ia dirección de correo “..........@yahoo.es”, como dato digno de protección amparado en el artículo 10 de Ia LOPD………….” SEGUNDA.- Que no es cierto que yo haya comunicado a Ia Agenda medida correctora alguna, como se afirma en Ia resolución, ya que serla tanto corno reconocer los hechos de que se me acusa. Jamás he reconocido haber infringido una norma. Que yo no he corregido nada, ni he tornado más medidas, lo tengo todo como lo tenla cuando el virus envió el correo. TERCERO.- Que se me ha condenado sin pruebas, ya que si bien se envío el dichoso mensaje a esa señora, ya le indique que fue debido a un virus informático, ajeno totalmente a mí voluntad, a pesar de tener contratado un antivirus llamado Panda, desde hace muchos años, y tener nuestro programa de trabajo llamado Gesfincas, un aviso de envío masivo de mail con copia oculta, también contratado desde hace mas de una década…>> FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por el recurrente, reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del II al VIII ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: <<…II C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 La LOPD en su art. 1 establece: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar.” III Asimismo en su Artículo 3 la LOPD, en “Definiciones”, establece: “A los efectos de la presente Ley Orgánica se entenderá por (…)
- a)Datos de carácter personal: cualquier información concerniente a personas físicas identificadas o identificables.
- b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso (…)
- d)Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.
- e)Afectado o interesado: Persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
- c)del presente artículo.
- f)Procedimiento de disociación: Todo tratamiento de datos personales de modo que la información que se obtenga no pueda asociarse a persona identificada o identificable.
- g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento.
- h)Consentimiento del interesado: Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.
- i)Cesión o comunicación de datos: Toda revelación de datos realizada a una persona distinta del interesado.
- j)Fuentes accesibles al público: Aquellos ficheros cuya consulta puede ser realizada por cualquier persona, no impedida por una norma limitativa, o sin más exigencia que, en su caso, el abono de una contraprestación. Tienen la consideración de fuentes de acceso público, exclusivamente, el censo promocional, los repertorios telefónicos en los términos previstos por su normativa específica y las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección e indicación de su pertenencia al grupo. Asimismo, tienen el carácter de fuentes de acceso público, los Diarios y Boletines oficiales y los medios de comunicación.” IV En relación con la consideración de la dirección de correo electrónico como dato personal, procede tener en consideración la Sentencia de la Audiencia nacional de 15 de enero de 2011, que estima: «...esta Sala ha considerado en las SSAN, Sec. 1a, de 23 de marzo 2006 (Rec. 911/2003) y de 25 de mayo de 2006 (Rec. 536/2004), que la dirección de correo electrónico de la que es titular una persona física, constituye una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 información que le concierne, que le afecta, y que forma parte del ámbito de su privacidad protegido por la Ley de Protección de Datos, siéndole plenamente aplicable su régimen jurídico. En dichos procedimientos se argumentaba que en los supuestos a los que se referían la dirección de correo electrónico no recogía el nombre y apellidos de su titular y no tenía vinculación con su identidad, por lo que no debería considerarse como dato de carácter personal, pero ello fue desestimado por las citadas sentencias...» En la Sentencia de la Audiencia Nacional de 25 de mayo de 2006 se especifica que la dirección de correo electrónico de que es titular una persona física constituye un dato personal, recogiéndose en el fundamento Quinto que: «...La primera cuestión suscitada por el recurrente se refiere a su alegación de que la dirección del correo electrónico del denunciante no constituye un dato de carácter personal en los términos que de la definición de dicho concepto se establece en el artículo 3.
- a)de la LOPD, por cuanto no existe vinculación personal entre dicha dirección y ese titular. Este Tribunal, a la vista del literal del mencionado precepto legal y del todavía vigente artículo 1.4 del mencionado Real Decreto 1332/1994, considera que la dirección del correo electrónico del que es titular una persona física, como ocurre en el caso de autos y no ha sido negado por la recurrente, constituye un dato personal, porque, con independencia de que la denominación de la dirección corresponda o no con el nombre v apellido de su titular, país o empresa en la que trabaja, lo cierto es que se puede, mediante una operación nada difícil, identificar perfectamente a una persona física, ya que esa dirección del correo electrónico aparecerá vinculada a un dominio concreto, por lo que sólo será necesario consultar al servidor en que se gestione dicho servicio. Es más, esta Sala, en un caso como el número del Documento Nacional de Identidad, que en principio no tiene aparente relación externa con el nombre y apellido de su titular, ha entendido que es un dato de carácter personal amparado por la LOPD. Así en la sentencia de 27 de octubre de 2004 (rec. 1112/2002), se decía: "Para la resolución de este caso debemos partir de una primera consideración jurídica elemental: el número del DNI es un dato de carácter personal, y por tanto protegido por la ley. El artículo 3
- a)LOPD define los datos de carácter personal como "cualquier información concerniente a personas físicas identificadas o identificables. Nada mejor que atender a las circunstancias de este caso para confirmar el encaje del dato controvertido en la definición legal: en el supuesto de autos, el número del DNI erróneamente cedido permitió identificar a la persona de…, después denunciante del hecho ante la Agencia de Protección de Datos"...» (el subrayado es de la AGPD). V El artículo 10 de la LOPD dispone que: "El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo." C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 El deber de secreto tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así, el Tribunal Superior de Justicia de Madrid declaró en su sentencia de 19 de julio de 2001: "El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)". En este sentido, la Audiencia Nacional también ha señalado, entre otras, en sentencias de fechas 14 de septiembre de 2001 y 29 de septiembre de 2004 lo siguiente: "Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un «instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegitimo del tratamiento mecanizado de datos» (STC 292/2000). Derecho fundamental a la protección de los datos que «persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino» (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, «es decir, el poder de resguardar su vida privada de una publicidad no querida». En el presente caso ha quedado acreditado en el expediente que el denunciado remitió un mensaje a cerca de 40 destinatarios, sin ocultar, en concreto, la dirección C.C.C., que los destinatarios recibieron asociada al pseudónimo E.E.E.. En el presente procedimiento no se imputa la revelación de las direcciones del resto de destinatarios, al no haberse recibido más denuncia que la de la señora A.A.A.. En consecuencia y de acuerdo con el criterio mantenido por la Audiencia Nacional, Sala de lo Contencioso Administrativo, Sección 1, Recurso 536/2004, Sentencia de 25/05/2006, cabe entender que, como consecuencia del envío del mensaje que ha motivado el presente procedimiento, se hayan divulgado a terceros datos de carácter personal que puedan ser atribuidos e identifiquen a la denunciante. VI En el Titulo VII de la LOPD, al regular las Infracciones y sanciones, define en el artículo 43.1 como "Responsables 1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley..." C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 VII El artículo 44.3.
- d)de la LOPD en su vigente redacción aprobada por Ley 2/2011, de 4 de marzo, de Economía Sostenible, califica como infracción grave: "La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley" Así el denunciado ha incurrido en la infracción grave descrita, pues incumplió el deber de secreto previsto en el artículo 10 de la LOPD revelando datos personales de la denunciante (su dirección de correo electrónico, D.D.D. vinculado al pseudónimo E.E.E.). Infracción grave que podría ser sancionada con multa de 40.001 a 300.000 euros. VIII La disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) ha añadido un nuevo apartado 6 al artículo 45 de la Ley 15/1999 de Protección de Datos, en lugar del existente hasta su entrada en vigor, del siguiente tenor: "Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos: a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. i Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento". En el presente supuesto se cumplen los requisitos recogidos en los apartados
- a)y
- b)del citado apartado 6. Junto a ello se constata una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no consta vinculación relevante de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constan beneficios obtenidos como consecuencia de la comisión de la infracción. No obstante, el denunciado ha de tener en consideración en lo sucesivo que, al margen de los requisitos previstos en el artículo 21 de la Ley 34/2002, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI), al respecto del envío de comunicaciones comerciales no solicitadas, el envío de mensajes electrónicos debe atender también las obligaciones recogidas en la normativa vigente de protección de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 datos, en particular en lo relativo a preservar la confidencialidad de los destinatarios de los mensajes. A este respecto, cuando al remitente del mensaje le sea exigible este deber de secreto y siempre que no sean aplicables excepciones relacionadas con supuestos en los que los titulares estén ligados por relaciones de ámbito doméstico, laboral o profesional, se considera preciso el recurso a una modalidad de envío que ofrecen los programas de correo electrónico disponibles en el mercado, la cual permite detallar las direcciones electrónicas de los destinatarios múltiples en un campo específico del encabezado del mensaje: el campo CCO (con copia oculta), en lugar del habitual CC. En el presente caso, ha quedado acreditado que el denunciado ha comunicado a esta Agencia las medidas correctoras adoptada. Teniendo en cuenta estas circunstancias, no procede requerimiento alguno…>> III En relación con la dirección de correo electrónico como dato personal, esta Agencia en su resolución del Procedimiento Sancionador 345/2013 de 18/12/2013 ha establecido en su fundamento de derecho VIII que: <<…Procede analizar si la información recabada incluye datos de carácter personal, considerando que el objeto de la LOPD señalado en su artículo 1 tiene que ver con la garantía y protección, en lo que concierne al tratamiento de datos personales, de las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar. La LOPD viene a regular el derecho fundamental a la protección de datos de las personas físicas, esto es, el derecho a disponer de sus propios datos sin que puedan ser utilizados, tratados o cedidos sin su consentimiento, con la salvedad de las excepciones legalmente previstas. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala que “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”. Por ello resulta preciso determinar que ha de entenderse por dato de carácter personal y tratamiento de datos. El artículo 3.
- a)de la LOPD define el concepto de dato de carácter personal como “cualquier información concerniente a personas físicas identificadas o identificables”. Y el apartado 1.
- f)del artículo 5 del Real Decreto 1720/2007, de 21 de diciembre (RLOPD), por el que se aprueba el Reglamento de desarrollo de la LOPD, define dato de carácter personal como “cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables”. De ello se desprende que el concepto de dato personal, según la definición de la LOPD, requiere la concurrencia de un doble elemento: por una parte, la existencia de una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 información o dato y, por otra, que dicho dato pueda vincularse a una persona física identificada o identificable. La definición de persona identificable aparece en la letra
- o)del citado artículo 5.1 del RLOPD, que considera como tal “toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados”. En relación con lo anterior, el artículo 2.
- a)de la Directiva 95/46/CE considera identificable “toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Asimismo, el Considerando 26 de la Directiva se refiere a esta cuestión señalando que, para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona para identificar a aquélla. Sobre este concepto, la Audiencia Nacional en su sentencia de 08/03/2002, ha señalado que para que exista dato de carácter personal (en contraposición con dato disociado) no es imprescindible una plena coincidencia entre el dato y una persona concreta, sino que es suficiente con que tal identificación pueda efectuarse sin esfuerzos desproporcionados… En su Dictamen 4/2007, sobre el concepto de dato personal, adoptado el 20 de junio, el Grupo de Trabajo del Artículo 29 se refiere a esta cuestión en los siguientes términos: “Por su parte, cuando hablamos de «indirectamente» identificadas o identificables, nos estamos refiriendo en general al fenómeno de las «combinaciones únicas», sean éstas pequeñas o grandes. En los casos en que, a primera vista, los identificadores disponibles no permiten singularizar a una persona determinada, ésta aún puede ser «identificable», porque esa información combinada con otros datos (tanto si el responsable de su tratamiento tiene conocimiento de ellos como si
- no)permitirá distinguir a esa persona de otras. Aquí es donde la Directiva se refiere a «uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social». Algunas de esas características son tan únicas que permiten identificar a una persona sin esfuerzo (el «actual Presidente del Gobierno de España »), pero una combinación de detalles pertenecientes a distintas categorías (edad, origen regional, etc.) también puede ser lo bastante concluyente en algunas circunstancias, en especial si se tiene acceso a información adicional de determinado tipo. Este fenómeno ha sido estudiado ampliamente por los estadísticos, siempre dispuestos a evitar cualquier quebrantamiento de la confidencialidad. Al llegar a este punto, conviene señalar que, si bien la identificación a través del nombre y apellidos es en la práctica lo más habitual, esa información puede no ser necesaria en todos los casos para identificar a una persona. Así puede suceder cuando se utilizan otros «identificadores» para singularizar a alguien. Efectivamente, los ficheros informatizados de datos personales suelen asignar un identificador único a las personas registradas para evitar toda confusión entre dos personas incluidas en el fichero. También en Internet, las herramientas de control de tráfico permiten identificar con facilidad el comportamiento de una máquina y, por tanto, la del usuario que se encuentra detrás. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 Así pues, se unen las diferentes piezas que componen la personalidad del individuo con el fin de atribuirle determinadas decisiones. Sin ni siquiera solicitar el nombre y la dirección de la persona es posible incluirla en una categoría, sobre la base de criterios socioeconómicos, psicológicos, filosóficos o de otro tipo, y atribuirle determinadas decisiones puesto que el punto de contacto del individuo (un ordenador) hace innecesario conocer su identidad en sentido estricto. En otras palabras, la posibilidad de identificar a una persona ya no equivale necesariamente a la capacidad de poder llegar a conocer su nombre y apellidos. La definición de datos personales refleja este hecho”. Y al referirse a los “medios de identificación”, en el mismo Dictamen señala: “El criterio del «conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona» debe tener especialmente en cuenta todos los factores en juego. Lo costoso de la identificación es un factor, pero no el único. La finalidad del tratamiento, la manera en que el tratamiento está estructurado, el rédito que espera obtener el responsable del tratamiento, los intereses individuales en juego, así como el riesgo de que se produzcan disfunciones organizativas (por ejemplo, un quebrantamiento del deber de confidencialidad) y los fracasos técnicos son todos ellos elementos que deben tenerse en cuenta. Por otra parte, se trata de una prueba dinámica, por lo que debe tenerse en cuenta el grado de avance tecnológico en el momento del tratamiento y su posible desarrollo en el período durante el cual se tratarán los datos… Un factor importante, como se dijo anteriormente, para evaluar el «conjunto de los medios que puedan ser razonablemente utilizados» para identificar a las personas será la finalidad perseguida por el responsable del tratamiento al llevarlo a cabo. Las autoridades nacionales de protección de datos se han enfrentado a casos en los que el responsable del tratamiento sostenía que sólo se habían tratado informaciones dispersas, sin referencias a nombres u otros identificadores directos, y abogaba por que los datos no se considerasen como personales y no estuvieran sujetos a las normas de protección de los datos. Y, sin embargo, el tratamiento de esa información sólo cobraba sentido si permitía la identificación de individuos concretos y su tratamiento de una manera determinada. En estos casos, en los que la finalidad del tratamiento implica la identificación de personas, puede asumirse que el responsable del tratamiento o cualquier otra persona implicada tiene o puede tener medios que «puedan ser razonablemente utilizados», para identificar al interesado. De hecho, sostener que las personas físicas no son identificables, cuando la finalidad del tratamiento es precisamente identificarlos, sería una contradicción flagrante. Por lo tanto, debe considerarse que la información se refiere a personas físicas identificables y el tratamiento debe estar sujeto a las normas de protección de datos”…>> IV Una cuestión similar a la aquí planteada se trató en el informe de 28 de junio de 2012 del Gabinete Jurídico de esta Agencia donde se expuso, “cuáles son los requisitos legalmente exigibles desde el punto de vista de la protección de datos para la utilización en los vehículos de emergencias policiales de un sistema de geolocalización a través de GPS” en los siguientes términos: <<…Para abordar esta cuestión, debe determinarse en primer lugar si resulta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 aplicable al supuesto la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) y su normativa de desarrollo. En primer lugar, el artículo 2 de la Directiva 2002/58/CE relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas define los datos de localización como "cualquier dato tratado en una red de comunicaciones electrónicas que indique la posición geográfica del equipo terminal de un usuario de un servicio de comunicaciones electrónicas disponible para el público" Por tanto, es necesario estudiar si en el supuesto de hecho planteado la instalación de un sistema de geolocalización supone el tratamiento de datos personales por afectar a personas identificables. Con carácter general, debe indicarse que los artículos 1 y 2 de la LOPD extienden su protección a los derechos de los ciudadanos en lo que se refiere al tratamiento automatizado de sus datos de carácter personal, siendo definidos éstos en el artículo 3.
- a)de la citada Ley como “cualquier información concerniente a personas físicas identificadas o identificables“. El artículo 5. 1
- f)del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD (RDLOPD), considera datos de carácter personal a “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables.” Y es que en virtud del artículo 2.
- a)de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, los datos personales son «toda información sobre una persona física identificada o identificable (el «interesado»); se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social». El considerando 26 de la Directiva presta una especial atención a la expresión «identificable» cuando afirma que «para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona, para identificar a dicha persona». El considerando 27 de la Directiva esboza el amplio alcance de la protección: «[considerando] que el alcance de esta protección no debe depender, en efecto, de las técnicas utilizadas, pues lo contrario daría lugar a riesgos graves de elusión». Por eso el artículo 5.1
- o)RDLOPD señala que será persona identificable “toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados”. Este es el criterio seguido por la Audiencia Nacional que, en sentencia de 8 de marzo de 2002, ha señalado que “para que exista un dato de carácter personal (en contraposición con dato disociado) no es imprescindible una plena coincidencia entre el dato y una persona concreta, sino que es suficiente con que tal identificación pueda efectuarse sin esfuerzos desproporcionados” y “para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 persona, para identificar a dicha persona”. De los términos de la consulta parece que estamos ante un tratamiento automatizado de datos identificativos de las personas, por cuanto, aunque se manifiesta que el tratamiento aparece referenciado a los vehículos policiales, podemos deducir que cabrá la posibilidad de asociar la posición de los mismos con los miembros de la policía que estén haciendo uso de tales vehículos, su identidad. Se indica que la finalidad de este tratamiento es la localización en tiempo real de los coches policiales, pero no se descarta el escrito de consulta al análisis del rendimiento de dicha flota de vehículos, puesto que se refiere a “optimizar los recursos”. Sin embargo, desconocemos en qué medida la asociación del dato de localización con los funcionarios del cuerpo de policía local que van en el vehículo puede realizarse sin esfuerzos desproporcionados. Y es que ello dependerá de los medios de los que razonablemente disponga el responsable del tratamiento. En el supuesto de hecho planteado es razonable pensar que sí que va a crearse un fichero con datos personales, por cuanto se tratará de un fichero de la policía local, y la propia policía conoce o puede identificar sus propias unidades o números de coche, así como la persona o personas usuarias de los vehículos en cuestión. Sin embargo, reiteramos, en la consulta no se ofrecen datos suficientes, dependiendo así de las circunstancias concretas. Esta misma conclusión se alcanzó en informe de 12 de agosto de 2009 en los siguientes términos: “En consecuencia, del tratamiento de los datos de localización de la flota de coches policiales puede deducirse o hacer identificables sin un esfuerzo desproporcionado, a los usuarios de los mismos y el análisis del rendimiento de la flota mediante dicha localización permitiría conocer un conjunto de características que harían identificable al usuario afectado sin gran dificultad. De modo que no estaríamos ante un tratamiento anonimizado, o sometido a un previo procedimiento de disociación, definido en el artículo 3
- f)de la LOPD como “todo tratamiento de datos personales de modo que la información que se obtenga no pueda asociarse a persona identificada o identificable.” Los datos de localización de los vehículos se incorporarían a un fichero de datos que, en tanto no permita asociar, porque ello suponga un esfuerzo desproporcionado, cada vehículo con el policía o policías que lo utilizan, no constituiría un fichero o tratamiento de datos de carácter personal sometido al ámbito de aplicación de la LOPD. Por consiguiente, si la posibilidad de identificación fuera muy remota, dicho fichero no quedaría afectado por lo establecido en el artículo 26 de la misma que dice que “Toda persona o entidad que proceda a la creación de ficheros de datos de carácter personal lo notificará previamente a la Agencia de Protección de Datos.” En los mismos términos, el artículo 55 del Reglamento, Real Decreto 1720/2007 establece que “Todo fichero de datos de carácter personal de titularidad pública será notificado a la Agencia Española de Protección de Datos por el órgano competente de la Administración responsable del fichero para su inscripción en el Registro General de Protección de Datos, en el plazo de treinta días desde la publicación de la norma o acuerdo de creación en el diario oficial correspondiente.” Por el contrario, en el caso de que a través del dato de localización pudiera identificarse sin gran dificultad, atendiendo al conjunto de medios que razonablemente puedan ser utilizados por el responsable del tratamiento, lo que en el caso presente parece razonable pensar, ya que la propia policía conoce o puede identificar sus propias unidades o números de coche, así como la persona o personas usuarias del vehículo en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 cuestión, nos encontraríamos ante un fichero de datos personales de carácter público, respecto del cual debería dictarse la correspondiente disposición general de creación y su publicación en el Diario Oficial correspondiente (artículo 20 de la LOPD), e inscribirse en el Registro General de esta AEPD, de acuerdo con la obligación ya señalada del artículo 26 de dicha norma...>> V En el recurso de reposición se comunica que: <<…Además se trata de una resolución obsoleta, tal y como se dispone en otra posterior de fecha 18 de marzo de 2011, en Ia que se dispone expresamente “…Ia dirección de correo electrónico no es dato digno de protección salvo…>> Consultado el fichero de esta Agencia hay 63 resoluciones de diversos procedimientos con dicha fecha, sin que en ninguna de ellas se haya encontrado que se recoja dicho texto. Consultadas las Sentencias de la Audiencia Nacional, Sala de lo Contencioso Administrativo, Sección 1 de dicha fecha, en ninguna de ellas se ha encontrado que se recoja dicho texto. Por lo tanto, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por D. B.B.B. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 23 de diciembre de 2013, en el procedimiento de apercibimiento A/00128/2013. SEGUNDO: NOTIFICAR la presente resolución a D. B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es