1/7 Procedimiento nº.: E/00233/2015 ASUNTO: Recurso de Reposición Nº RR/00789/2015 Examinado el recurso de reposición interpuesto por Doña A.A.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento de apercibimiento, E/00233/2015, y en base a los siguientes, HECHOS PRIMERO: Con fecha 28 de agosto de 2015, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento E/00233/2015, en virtud de la cual se acordaba proceder al Archivo del expediente referenciado al no considerar que la conducta descrita en su escrito de denuncia vulneraba o fuera contraria al marco normativo vigente en materia de protección de datos. Dicha resolución, que fue notificada al recurrente en legal forma, fue dictada previa la tramitación del correspondiente procedimiento, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Doña A.A.A. (en lo sucesivo la recurrente) ha presentado en fecha 8 de octubre de 2015, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en los siguientes extremos: “Que el sistema de video-vigilancia existiera previamente a 2010 no significa que cumpla con la legalidad vigente, al igual que no exime de responsabilidad a la propietaria de dicho sistema, que otros arrendatarios se hayan opuesto (faltaría más). Que un denunciado alegue incumplimientos para justificar su actitud es inaudito, por no decir que causa estupor, pero es aún peor que sus argumentos sean aceptados para justificar un Archivo de actuaciones y se den por buenas irregularidades llevadas a cabo durante años en un tema tan sensible como es la video-vigilancia. En cuanto a la cesión de datos (a la que por cierto poca atención se presta) da por validos los razonamientos de Naropa Residencial, es tanto como dar vía libre para que cualquiera de vía libre al acceso por tercero a los datos personales de un ciudadano sin más argumento que su consentimiento tácito y despreciando las garantías que la Ley recoge. Es importante remarcar que los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionadas con las funciones legítimas del cedente y del cesionario, con el previo consentimiento del interesado. Es importante remarcar que los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionarios, con el previo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 consentimiento del interesado. Consentimiento que, reitero, no se ha solicitado. Ni la denunciada desvirtúa con las alegaciones realizadas lo referido en la denuncia ni la Agencia fundamenta adecuadamente (como en el supuesto anterior) el archivo de las actuaciones, a saber: Queda claro que ni en 2010 ni a día de la fecha los datos personales de los arrendatarios han sido debidamente inscritos. Considerando que los datos de carácter personal facilitados son de nivel medio/alto hay que verificar si Naropa ha realizado las preceptivas auditorias. En ningún caso se ha informado-Informar-- a los titulares de los datos personales en la recogida de éstos, ni se ha obtenido el consentimiento para el tratamiento. En sus relaciones con terceros no cumplen ni han cumplido con lo dispuesto en la Ley (…). En la cesión de datos Naropa no puede acogerse a ninguno de los supuestos que la Ley prevé para no solicitar el consentimiento. Es más no reflejan u omiten la relación que les une con Previsegur. Por todo lo expuesto solicita que tenga por presentado el presente escrito con los documentos adjuntos e interpuesto recurso de reposición. Examinadas las argumentaciones realizadas por la mercantil denunciada ha quedado claro que no existe fundamento alguno para proceder al archivo de las actuaciones…”. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En el presente caso, se procede a examinar el escrito calificado como recurso de reposición que interpone la epigrafiada en fecha 08/10/2015 que trae causa de la denuncia presentada en esta Agencia en fecha 23/10/14 frente a la entidad Naropa Residencia S.L. que fue objeto de tramitación en el marco del expediente con número de referencia E/00233/
- La denuncia se concretaba en los siguientes términos: “Que tengo suscrito un contrato de arrendamiento de vivienda con Naropa Residencial S.L, contrato que se firmó en su oficina comercial sita en (C/................1). Que desde esas fechas hasta ahora se han producido cesiones de nuestros datos personales (teléfonos, cuentas bancarias, correos electrónicos, datos fiscales, estado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 civil, etc) a distintas empresas y personas dependientes de las mismas, sin que se nos haya comunicado y pedido autorización para ello, de modo que dichos datos circulan sin control alguno”—folio nº 1—(*la negrita pertenece a la AEPD). Por tanto analizada la misma, los hechos que fueron objeto de denuncia se incardinaban en la presunta infracción del art. 5 LOPD (principio deber de información), así como en su caso en una cesión ilegal de los datos de la afectada a terceros no autorizados. En apoyo de su pretensión aportó junto con su escrito de denuncia copia del contrato de arrendamiento firmado en fecha 01/06/12 con la sociedad denunciada—Naropa Residencial S.L Unipersonal--. Por tanto es un hecho no controvertido que las partes (denunciante y denunciada) firmaron voluntariamente un contrato de arrendamiento siendo debidamente comprendidas las cláusulas contenidas en el mismo. Conviene recordar que el art. 4.2 Ley de Arrendamientos Urbanos (ley 29/1994) dispone lo siguiente: ”Respetando lo establecido en el apartado anterior, los arrendamientos de vivienda se regirán por los pactos, cláusulas y condiciones determinados por la voluntad de las partes, en el marco de lo establecido en el título II de la presente ley y, supletoriamente, por lo dispuesto en el Código Civil”. A mayor abundamiento en la cláusula Decimotercera del mismo, firmado voluntariamente por la recurrente, se recoge el siguiente tenor literal: “Para cualquier tipo de controversia que pudiese plantearse en la interpretación y ejecución de este contrato, las partes renuncian expresamente a cualquier fuero que pudiera serles de aplicación, sometiendo expresamente a la competencia y jurisdicción de los Juzgados de Madrid”. (*el subrayado pertenece a la AEPD). Por tanto no requiere mayor esfuerzo interpretativo que “cualquier controversia” en la interpretación del contrato es una cuestión que la recurrente aceptó con su firma manuscrita someter a los órganos jurisdiccionales competentes de la ciudad de Madrid. Con motivo de la interposición del presente recurso la afectada puntualiza que es arrendataria del citado inmueble desde la siguiente fecha 25/06/2010 aportando la documentación que lo acredita. No se debe de perder de vista que la Ley de Arrendamiento Urbanos fue promulgada en el año 1994, mientras que la Ley Orgánica de Protección de Datos es de una fecha posterior 1999; siendo bastante frecuente que este tipo de contratos se suscriban mediante contratos “tipo” que no contienen las cláusulas preceptivas en materia de protección de datos, siendo en la actualidad una práctica social aceptada. Manifestado lo anterior, ha quedado acreditado que la firma del contrato inicial fue en el año 2010, posteriormente se firma un “nuevo” contrato en fecha 2012, siendo la duración del mismo tal y como se plasma en el mismo “de Cinco años y un día…”, sin que la afectada manifestara en legal forma su oposición a la firma del mismo o requiriese a la parte denunciada la inclusión de cláusula alguna en materia de protección de datos. En este caso, si se procede a la lectura del art. 1258 CC, que rige como se ha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 comentado anteriormente con carácter supletorio en este tipo de contratos, en el mismo se dispone: “Los contratos se perfeccionan por el mero consentimiento, y desde entonces obligan, no sólo al cumplimiento de lo expresamente pactado, sino también a todas las consecuencias que, según su naturaleza, sean conformes a la buena fe, al uso y a la ley”. (*el subrayado y la negrita pertenecen a esta Agencia). A mayor abundamiento a lo largo de las cláusulas del contrato de arrendamiento se le informa a la recurrente de forma clara y comprensible de los siguientes aspectos: “el inquilino declara conocer la finca...”; “respecto al sistema de alarma de vigilancia anti-intrusión, el arrendatario deberá conectar el mismo al servicio de recepción de alarmas correspondientes y el coste de dicha conexión correrá por su cuenta”. Recordar que constituye doctrina reiterada y consolidada de la AN (Audiencia Nacional) que la LOPD no exige que dicho consentimiento inequívoco se manifieste de forma expresa ni por escrito (SSAN de 1-2-2006 (Rec.250/2004) y de 20-9-2006 (Rec. 626/2004), e igualmente que tal consentimiento se puede producir de forma expresa, oral o escrita, o por actos reiterados del afectado que revelen que, efectivamente, ha dado ese consentimiento con los requisitos expuestos, es decir, por actos presuntos, o por el silencio del afectado, consentimiento tácito (o impropiamente llamado silencio positivo), como se dice en la SAN de 14-4-2000 Rec. 103/1999). Por tanto, en el momento de la firma del contrato de arrendamiento –año 2010la recurrente era conocedora de la existencia de un sistema de video-vigilancia en el inmueble (el cual lleva instalado desde la construcción del mismo en el año 2006), no procediendo a denunciar una presunta “irregularidad” ante esta Agencia hasta 23/10/14, esto es durante cuatro años la afectada no ha realizado manifestación alguna, ni como resultaría lógico ha manifestado su “disconformidad” al responsable principal (arrendador). Manifestado lo anterior, cabe proceder a analizar la cuestión principal de su denuncia original ante esta Agencia, la cesión “ilegal” de sus datos de carácter personal a terceras empresas sin su consentimiento. En concreto indica expresamente las siguientes: CBRE Real State S.A, Gisco XXI (Servicio de Consejería), Previsegur (Cámaras de video-vigilancia). Si se procede a la lectura del art. 12 apartado 1º de la LOPD (LO 15/1999) el mismo dispone: “No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento” La entidad denunciada—Naropa Residencia S.L—procedió a aportar con motivo de la tramitación del expediente nº E/00233/2015 copia de los contratos suscritos en dónde se plasma la preceptiva cláusula en materia de protección de datos, actuando las mismas en su condición de “encargados del tratamiento” asumiendo los deberes de secreto y confidencialidad de los datos; siendo el acceso a los datos por parte de las mismas necesarios para la prestación de un servicio al responsable del tratamiento. Por tanto aunque la regla general es que se requiere el consentimiento del titular de los datos para la cesión de los mismos a terceros, existen excepciones a esta regla C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 general que permiten facilitar datos personales a terceros sin necesidad de tener que obtener el consentimiento del titular de los datos. Así se pueden facilitar datos personales a tercero/s sin necesidad de contar con el consentimiento, siempre y cuando, esa comunicación de datos sea necesaria para que ese tercero pueda prestarnos un servicio. En el caso de su denuncia, la entidad denunciada (Naropa como arrendadora) ostenta la condición de responsable del fichero, habiendo obtenido voluntariamente sus datos a la firma del contrato (posterior prórroga) procediendo a la comunicación de los mismos a terceras entidades-encargadas del tratamiento-- para que realicen la labor que se le encomienda: seguridad del complejo inmobiliario. No requiere mayor esfuerzo interpretativo, a modo ilustrativo que dada la existencia de una “garita” de seguridad a la entrada del complejo, el personal de seguridad disponga de una ficha con los datos personales de la afectada, lo que le permite ejercer la labor que se le encomienda: vigilancia de las personas que entran y salen del complejo. Lo único que se requiere legalmente es que la “cesión” se formalice en un contrato entre las partes (cedente y cesionaria) que es el que se regula en el art. 12 apartado 2º de la LOPD. “La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas” Examinados los documentos contractuales presentados por la entidad denunciada cabe concluir que los mismos contienen las preceptivas cláusulas en materia de protección de datos, cumpliendo por tanto ésta con su función de garante principal de los datos de carácter personal de la afectada. De acuerdo con lo argumentado la cuestión principal presunta “cesión ilegítima” de los datos de la afectada a terceras empresas, ha quedado acreditado que la conducta descrita tiene acomodo en el marco normativo vigente (art. 12 LOPD), motivo por el que procede confirmar el sentido de la Resolución de la Directora de esta AEPD de fecha 01/09/
- En segundo término, aprovecha la recurrente la amplia fundamentación de la resolución mencionada para introducir con motivo del presente escrito de recurso “nuevos” elementos de discusión que se centran principalmente en presuntas irregularidades en el sistema de video-vigilancia instalado en el inmueble. Con relación a presuntas infracciones administrativas que centra en su escrito a los años 2010 y 2012, cabe traer a colación el art. 47 LOPD “Prescripción” por lo que las mismas estarían en todo caso a día de la fecha prescritas, no siendo susceptibles de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 sanción alguna. En lo relativo a la “ausencia de carteles” informativos en el parking, recordar que la normativa vigente (art. 4 Instrucción 1/2006) sólo exige colocar un cartel informativo en zona visible; constando acreditada la existencia de varios carteles en distintos lugares de acceso al inmueble, no siendo requisito que deba existir uno al lado de cada cámara de video-vigilancia. Item, la presunta duplicidad de carteles informativos que menciona es inexistente, el cartel válido es el cartel homologado con la referencia a la LOPD en dónde se le indica expresamente el responsable del fichero—Naropa Residencial S.L (C/...............2) (Madrid)--, siendo el otro cartel que menciona el de la empresa PREVISEGUR como instaladora del sistema de cámaras de seguridad. Desconoce, igualmente, la afectada la modificación sufrida por la LOPD (BOE 5 de marzo 2011) que introduce un nuevo apartado 6º en el art. 45 de la ley que amplía las opciones para adoptar medidas preventivas en el cumplimiento de la misma a través de la figura del apercibimiento como medida no sancionadora. En este sentido, conviene traer a colación lo señalado por la Sentencia de la Audiencia Nacional de 29-11-2013, de acuerdo con cuyo Fundamento Jurídico SEXTO, los procedimientos de apercibimiento que finalizan sin requerimiento se deben resolver como archivo, debiendo estimarse adoptadas ya las medidas correctoras pertinentes en el caso por lo que debe procederse a resolver el archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno al denunciado, en aplicación del artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. Con arreglo al criterio marcado la entidad denunciada con motivo de la tramitación del expediente con nº de referencia E/00233/2015 acredito documentalmente la colocación de los carteles de zona video-vigilada, con indicación del responsable del fichero, disponibilidad de formulario a disposición de cualquier afectado, así como procedió a la inscripción del preceptivo fichero en el Registro General de esta Agencia con código de referencia ***CÓD.1 por lo que la entidad actuó de conformidad con la legalidad vigente. El resto de cuestiones planteadas no van a ser objeto de análisis al carecer de respaldo probatorio o tratarse en algunos casos de meras “conjeturas” o “reflexiones personales”, recordando a la afectada que en todo caso dispone de los medios judiciales para resolver el conflicto con la parte arrendadora (cláusula de sujeción a los Juzgados de Madrid) o bien una vez extinta la relación contractual el abanico de derechos reconocidos en el marco de la LOPD (vgr. derecho de cancelación, etc) para la protección de sus datos de carácter personal, que están desarrollados en nuestra página web: www.agpd.es. Por todo lo expuesto se acuerda Desestimar el presente escrito calificado como recurso de reposición. III Por lo tanto, en el presente recurso de reposición, Doña A.A.A. no ha aportado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Doña A.A.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 28 de agosto de 2015, en el procedimiento E/00233/
- SEGUNDO: NOTIFICAR la presente resolución a la parte recurrente Doña A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es