← España

REPOSICION-E-00822-2014

1/28 Procedimiento nº.: E/00822/2014 ASUNTO: Recurso de Reposición Nº RR/00428/2015 Examinado el recurso de reposición interpuesto por AXESOR CONOCER PARA DECIDIR, S.A. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/00822/2014, y en base a los siguientes HECHOS PRIMERO: Con fecha 16 de abril de 2015, se dictó resolución por el Director de la Agencia en el expediente de actuaciones previas de inspección E/00822/2014, acordándose: “PROCEDER AL ARCHIVO de las presentes actuaciones con nº de expediente E/00822/2014, requiriendo a AXESOR CONOCER PARA DECIDIR, S.A. a la adopción de medidas para evitar que su actuación vulnere lo recogido en el Fundamento de Derecho IV y resto de la resolución.” Dicha resolución fue notificada a AXESOR CONOCER PARA DECIDIR, S.A., (en adelante AXESOR o la recurrente), en fecha 24 de abril de 2015, según aviso de recibo que figura en el expediente. SEGUNDO: La recurrente ha presentado, con fecha 26 de mayo de 2015, en el Registro de Entrada de esta Agencia recurso de reposición en el que solicita tanto la revocación de la resolución impugnada, con eliminación de la misma del requerimiento a AXESOR para la adopción de medidas, como la exclusión de la resolución recurrida de la página web de la AEPD, absteniéndose ésta de realizar publicidad alguna, en cualquier medio, del procedimiento e inspección llevado a cabo y de la resolución recurrida hasta que ésta haya devenido firme judicialmente. Estas peticiones se fundamentan, básicamente, en los siguientes extremos: Primero: Se mantiene que las ambiguas y confusas conclusiones a las que llega la Agencia parecen sugerir, a la vista de cómo se ha estructurado la resolución, que la recurrente, al tratar la información objeto de investigación que ha dado lugar a la misma, pudiera estar incumpliendo algún precepto de la LOPD o de su normativa de desarrollo, y por ello tiene que adoptar medidas. Estando AXESOR en disconformidad con la existencia de infracción de la norma que la resolución parece sugerir, centra sus alegaciones en demostrar que la adopción de medidas propuestas por la Agencia resulta innecesaria por no haberse producido los tratamientos ilícitos recogidos en el Fundamento IV y resto de la Resolución, realizando las puntualizaciones referidas a las conclusiones contenidas en el citado Fundamento de Derecho que se resumen en las alegaciones a continuación descritas. Segundo: En lo que respecta al fichero de “Cargos y Directivos de Sociedades” aduce lo siguiente en relación con el pronunciamiento consistente en indicar “AXESOR no está legitimada para tratar los datos personales de los “Cargos Sociales Históricos” (cesados) procedentes del BORME con un alcance superior al propio de las responsabilidades C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/28 societarias contempladas en la LSC”: 2.1 En cuanto a los “Datos personales de los “Cargos Sociales Históricos” manifiesta, en primer término, que los datos de órganos sociales históricos podrían conservarse por un período mayor al de 4 años en caso de que resultara de aplicación la normativa de protección de datos, ya que conforme a la redacción actual del artículo 241 bis de la Ley de Sociedades de Capital, (LSC), modificado por la Ley 31/2014, de 3 de diciembre, el plazo de cuatro años de prescripción de las acciones de responsabilidad contra los administradores comienza a contar desde el día en que hubieran podido ejercitarse, lo que, en la práctica, impide que AXESOR pueda conocer el momento exacto a partir del cual computar el plazo de prescripción para cancelar la información en su base de datos. Aduce, además, que, aun conociendo ese momento por haber sido comunicado, carecería de sentido computar los 4 años para eliminar la información, ya que podrían existir nuevos accionistas o terceros afectados a posteriori con el mismo derecho a conocer esa información. Añade que atendido que también pudieran resultar de aplicación los plazos de prescripción previstos en el Código Penal por posibles responsabilidades o cualesquiera otras provenientes de nuestro marco normativo, le resulta imposible anticipar el interés legítimo que sus clientes puedan tener a efectos de utilizar la información puesta a su disposición. En segundo término, mantiene que nos encontramos ante un supuesto de tratamiento de datos que queda fuera del ámbito de aplicación de la LOPD, que protege exclusivamente a las personas físicas, ya que el nombre, apellidos, cargo, nombramiento y cese de órganos sociales recogidos del BORME (fuente accesible al público) son datos cuyo tratamiento se refiere estrictamente a la vinculación de sus titulares con la actividad de una persona jurídica, no ostentando éstos la facultad de ejercitar los derechos de acceso, rectificación, cancelación y oposición reconocidos por dicha legislación. Afirman que tanto los datos actuales como los históricos de los órganos sociales quedan fuera del ámbito de aplicación de la LOPD cuando están tratados dentro de los límites del artículo 2.2 del Real Decreto 1720/2007. En respaldo de lo antedicho, AXESOR cita diversas Sentencias de la Audiencia Nacional que mantendrían este criterio respecto de los supuestos analizados en las mismas y varios informes del Gabinete Jurídico de la Agencia que apoyarían este criterio. Concluye que no ha lugar a la adopción de medidas que indica la AEPD, ya que la finalidad por la que se conservan dichos datos no va más allá de la relativa a la posibilidad de los accionistas o terceros afectados por la gestión de cargo, de iniciar acciones legales por responsabilidad civil y/o penal, teniendo en cuenta además que dichos datos quedan fuera del ámbito de aplicación de la LOPD y su normativa de desarrollo. 2.2 En lo que respecta a la conclusión referida a los “Datos de Contacto de Directivos” facilitados por ALIMARKET, de la que la recurrente sólo transcribe el siguiente texto omitiendo la salvedad final de la misma: “AXESOR no puede tratar los datos personales de contacto de los directivos de las empresas facilitados por ALIMARKET más allá de las relaciones “business to business” contempladas en el artículo 2.2 del RLOPD”, aduce, básicamente, que como entidad conocedora de la limitación legal del tratamiento ha adoptado medidas diligentes y suficientes para que los clientes no traten los datos con otro alcance, ámbito y finalidades que los previstos en la norma, tal y como prueba que en los contratos celebrados con los clientes incluye una mención expresa en la Condición General Segunda a la prohibición de tratar los datos dentro de una relación “business to consumer”. Se afirma que la actuación de AXESOR es correcta y no requiere de mayor diligencia y observancia al tener implementadas medidas concretas para que los clientes no sobrepasen dicho límite legal, siendo, también en este punto, innecesaria la aplicación de medidas que la AEPD propone en su acuerdo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/28 Tercero, en lo que se refiere a la conclusión relativa al fichero “Histórico” de Personas Físicas con Teléfono” que señala que “la sociedad investigada sólo puede mantener en el mismo los datos personales procedentes de repertorios telefónicos mientras puedan exigírsele responsabilidades contractuales derivadas de la comercialización de bases de datos de particulares.”, AXESOR postula que en la propia resolución recurrida ya se señala que el mantenimiento de esa información del “Historico” permite justificar el cumplimiento contractual de los encargos realizados por los compradores de las bases de datos ante posibles reclamaciones y, además, es necesario para poder exonerarse de responsabilidad cuando los datos comercializados continúan usándose por los clientes una vez transcurrido el plazo legal establecido en el artículo 28 de la LOPD. Cuarto, en lo que respecta al ejercicio del Derecho de oposición, la recurrente vuelve a incidir en que nos encontramos frente a un supuesto que conforme al artículo 2.2 del RLOPD queda fuera del ámbito de aplicación de la LOPD, como argumentan las dos resoluciones de Tutelas de Derechos inadmitidas que se invocan. Todo ello sin perjuicio de recordar que AXESOR estima, cautelarmente, el ejercicio del derecho de oposición cuando el solicitante aparece como órgano social “cesado” desde hace al menos 4 años, al igual que estima el derecho cuando el titular, independientemente de que sea un cargo histórico o actual, informa sobre una situación que puede originar conflicto entre esta información y su ámbito personal. Quinto, en lo que se refiere al resto de la resolución niega que como se indica en el Fundamento II de la resolución recurrida, AXESOR comercialice los datos de cargos históricos con fines de publicidad y de prospección comercial. Finalmente, teniendo en cuenta que la resolución ha sido publicada, se solicita la suspensión de la publicación de la resolución recurrida en la página web de la Agencia al entender que tal publicación crea indefensión y vulnera el principio de presunción de inocencia. Se pone de manifiesto que los perjuicios que se le podrían causar a AXESOR de no acordarse la suspensión de la publicación serían irreparables o, cuando menos, de muy difícil reparación pues se estaría produciendo un daño comercial y de imagen que afectaría al honor de la entidad protegido por el artículo 18.1 de la Constitución Española , cuyo prestigio y reputación logrados a lo largo de su trayectoria podrían quedar empañados debido a su ambigüedad, todo ello de forma injustificada puesto que no se ha producido ningún incumplimiento de la LOPD en el desarrollo de su actividad. A su juicio, la suspensión de la publicación no perjudica ni a la AEPD, ni al interés general ni al de terceros, y constituye el único medio que permitirá, en pro del principio de presunción de inocencia, la protección al derecho fundamental al honor del que AXESOR, en su condición de persona jurídica, también ostenta. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II El artículo 117.1 de la LRJPAC, establece el plazo de un mes para la interposición del recurso de reposición, si el acto fuera expreso, añadiendo el artículo 113.1 de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/28 misma Ley que la resolución del recurso estimará, en todo o en parte, o desestimará las pretensiones formuladas en el mismo o declarará su inadmisión. En el presente caso, la resolución del Director de la Agencia de Protección de Datos de fecha 16 de abril de 2015, fue notificada al recurrente en fecha 24 de abril de 2015, y el recurso de reposición fue presentado en esta Agencia en fecha 26 de mayo de 2015 conforme consta en el sello de Registro de Entrada. Por lo tanto se plantea la extemporaneidad del citado recurso. Para fijar el “dies a quo” hay que estar a lo dispuesto en el artículo 48.2 de la LRJPAC, en virtud del cual el cómputo inicial se ha de realizar en este caso desde el día siguiente a la notificación, y ha de concluir el mismo día de la práctica de la notificación, pero del mes siguiente, ya que, de lo contrario, se contaría dos veces el citado día, es decir al inicio y al final del cómputo. En este sentido la Sentencia de la Audiencia Nacional de 22/05/2005, recuerda la doctrina de la Sala Tercera del Tribunal Supremo (Sentencias de 4/04/1998, 13/02/1999 y 3/06/1999, 4/07/2001 y 9/10/2001, y 27/03/2003) en virtud de la cual, cuando se trata de un plazo de meses, el cómputo ha de hacerse según el artículo 5 del Código Civil al que se remite el artículo 185.1 de la Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial, es decir, de fecha a fecha, para lo cual, si bien se inicia al día siguiente, concluye el día correlativo al de la notificación del mes que corresponda. Concluye la Sentencia citada de 22/05/2005, que ello no es contrario a lo principios de “favor actioni” y “pro actione”, ya que ambos tienen como límite, que no es posible desconocer, lo establecido en la Ley. En este caso, además, resulta de aplicación lo previsto en el artículo 48.3 de la LRJPAC que establece que “Cuando el último día del plazo sea inhábil, se entenderá prorrogado al primer día hábil siguiente.”, ya que el plazo del mes vencía en un día festivo, concretamente el domingo 24 de mayo de 2015. De esta forma, teniendo en cuenta que el plazo se prorrogaba al primer día hábil siguiente, es decir, al día 25 de mayo de 2015, la interposición de recurso de reposición en fecha 26 de mayo de 2015 supera el plazo de interposición establecido legalmente, por lo que procede inadmitir dicho recurso por extemporáneo. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: . PRIMERO: INADMITIR por extemporáneo el recurso de reposición interpuesto por AXESOR CONOCER PARA DECIDIR, S.A. contra la Resolución de esta Agencia Española de Protección de Datos, dictada con fecha 16 de abril de 2015 en el expediente de actuaciones previas de inspección E/00822/2014. SEGUNDO: NOTIFICAR la presente resolución a AXESOR CONOCER PARA DECIDIR, S.A.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/28 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/28 Procedimiento nº.: E/00822/2014 ASUNTO: Recurso de Reposición Nº RR/00428/2015 Examinado el escrito presentado con fecha 1 de julio de 2013 por AXESOR CONOCER PARA DECIDIR, S.A. en relación con la inadmisión del recurso de reposición interpuesto por esa entidad contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/00822/2014, y en base a los siguientes HECHOS PRIMERO: Con fecha 16 de abril de 2015, se dictó resolución por el Director de la Agencia en el expediente de actuaciones previas de inspección E/00822/2014, acordándose “PROCEDER AL ARCHIVO de las presentes actuaciones con nº de expediente E/00822/2014, requiriendo a AXESOR CONOCER PARA DECIDIR, S.A. a la adopción de medidas para evitar que su actuación vulnere lo recogido en el Fundamento de Derecho IV y resto de la resolución.” Dicha resolución fue notificada a AXESOR CONOCER PARA DECIDIR, S.A., (en adelante AXESOR o recurrente), en fecha 24 de abril de 2015, según aviso de recibo que figura en el expediente. SEGUNDO: La recurrente presentó en esta Agencia recurso de reposición contra dicho acto que figuraba como registrado de entrada con fecha 26 de mayo de 2015. En dicho recurso solicitaba tanto la revocación de la resolución impugnada, con eliminación de la misma del requerimiento a AXESOR para la adopción de medidas, como la exclusión de la resolución recurrida de la página web de la AEPD, absteniéndose ésta de realizar publicidad alguna, en cualquier medio, del procedimiento e inspección llevado a cabo y de la resolución recurrida hasta que ésta haya devenido firme judicialmente. Estas peticiones se fundamentan, básicamente, en los siguientes extremos: Primero: Se mantiene que las ambiguas y confusas conclusiones a las que llega la Agencia parecen sugerir, a la vista de cómo se ha estructurado la resolución, que la recurrente, al tratar la información objeto de investigación que ha dado lugar a la misma, pudiera estar incumpliendo algún precepto de la LOPD o de su normativa de desarrollo, y por ello tiene que adoptar medidas. Estando AXESOR en disconformidad con la existencia de infracción de la norma que la resolución parece sugerir, centra sus alegaciones en demostrar que la adopción de medidas propuestas por la Agencia resulta innecesaria por no haberse producido los tratamientos ilícitos recogidos en el Fundamento IV y resto de la Resolución, realizando las puntualizaciones referidas a las conclusiones contenidas en el citado Fundamento de Derecho que se resumen en las alegaciones a continuación descritas. Segundo: En lo que respecta al fichero de “Cargos y Directivos de Sociedades” aduce lo siguiente en relación con el pronunciamiento consistente en indicar “AXESOR no está legitimada para tratar los datos personales de los “Cargos Sociales Históricos” (cesados) procedentes del BORME con un alcance superior al propio de las responsabilidades societarias contempladas en la LSC”: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/28 2.1 En cuanto a los “Datos personales de los “Cargos Sociales Históricos” manifiesta, en primer término, que los datos de órganos sociales históricos podrían conservarse por un período mayor al de 4 años en caso de que resultara de aplicación la normativa de protección de datos, ya que conforme a la redacción actual del artículo 241 bis de la Ley de Sociedades de Capital, (LSC), modificado por la Ley 31/2014, de 3 de diciembre, el plazo de cuatro años de prescripción de las acciones de responsabilidad contra los administradores comienza a contar desde el día en que hubieran podido ejercitarse, lo que, en la práctica, impide que AXESOR pueda conocer el momento exacto a partir del cual computar el plazo de prescripción para cancelar la información en su base de datos. Aduce, además, que, aun conociendo ese momento por haber sido comunicado, carecería de sentido computar los 4 años para eliminar la información, ya que podrían existir nuevos accionistas o terceros afectados a posteriori con el mismo derecho a conocer esa información. Añade que atendido que también pudieran resultar de aplicación los plazos de prescripción previstos en el Código Penal por posibles responsabilidades o cualesquiera otras provenientes de nuestro marco normativo, le resulta imposible anticipar el interés legítimo que sus clientes puedan tener a efectos de utilizar la información puesta a su disposición. En segundo término, mantiene que nos encontramos ante un supuesto de tratamiento de datos que queda fuera del ámbito de aplicación de la LOPD, que protege exclusivamente a las personas físicas, ya que el nombre, apellidos, cargo, nombramiento y cese de órganos sociales recogidos del BORME (fuente accesible al público) son datos cuyo tratamiento se refiere estrictamente a la vinculación de sus titulares con la actividad de una persona jurídica, no ostentando éstos la facultad de ejercitar los derechos de acceso, rectificación, cancelación y oposición reconocidos por dicha legislación. Afirman que tanto los datos actuales como los históricos de los órganos sociales quedan fuera del ámbito de aplicación de la LOPD cuando están tratados dentro de los límites del artículo 2.2 del Real Decreto 1720/2007. En respaldo de lo antedicho, AXESOR cita diversas Sentencias de la Audiencia Nacional que mantendrían este criterio respecto de los supuestos analizados en las mismas y varios informes del Gabinete Jurídico de la Agencia que apoyarían este criterio. Concluye que no ha lugar a la adopción de medidas que indica la AEPD, ya que la finalidad por la que se conservan dichos datos no va más allá de la relativa a la posibilidad de los accionistas o terceros afectados por la gestión de cargo, de iniciar acciones legales por responsabilidad civil y/o penal, teniendo en cuenta además que dichos datos quedan fuera del ámbito de aplicación de la LOPD y su normativa de desarrollo. 2.2 En lo que respecta a la conclusión referida a los “Datos de Contacto de Directivos” facilitados por ALIMARKET, de la que la recurrente sólo transcribe el siguiente texto omitiendo la salvedad final de la misma: “AXESOR no puede tratar los datos personales de contacto de los directivos de las empresas facilitados por ALIMARKET más allá de las relaciones “business to business” contempladas en el artículo 2.2 del RLOPD”, aduce, básicamente, que como entidad conocedora de la limitación legal del tratamiento ha adoptado medidas diligentes y suficientes para que los clientes no traten los datos con otro alcance, ámbito y finalidades que los previstos en la norma, tal y como prueba que en los contratos celebrados con los clientes incluye una mención expresa en la Condición General Segunda a la prohibición de tratar los datos dentro de una relación “business to consumer”. Se afirma que la actuación de AXESOR es correcta y no requiere de mayor diligencia y observancia al tener implementadas medidas concretas para que los clientes no sobrepasen dicho límite legal, siendo, también en este punto, innecesaria la aplicación de medidas que la AEPD propone en su acuerdo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/28 Tercero, en lo que se refiere a la conclusión relativa al fichero “Histórico” de Personas Físicas con Teléfono” que señala que “la sociedad investigada sólo puede mantener en el mismo los datos personales procedentes de repertorios telefónicos mientras puedan exigírsele responsabilidades contractuales derivadas de la comercialización de bases de datos de particulares.”, AXESOR postula que en la propia resolución recurrida ya se señala que el mantenimiento de esa información del “Historico” permite justificar el cumplimiento contractual de los encargos realizados por los compradores de las bases de datos ante posibles reclamaciones y, además, es necesario para poder exonerarse de responsabilidad cuando los datos comercializados continúan usándose por los clientes una vez transcurrido el plazo legal establecido en el artículo 28 de la LOPD. Cuarto, en lo que respecta al ejercicio del Derecho de oposición, la recurrente vuelve a incidir en que nos encontramos frente a un supuesto que conforme al artículo 2.2 del RLOPD queda fuera del ámbito de aplicación de la LOPD, como argumentan las dos resoluciones de Tutelas de Derechos inadmitidas que se invocan. Todo ello sin perjuicio de recordar que AXESOR estima, cautelarmente, el ejercicio del derecho de oposición cuando el solicitante aparece como órgano social “cesado” desde hace al menos 4 años, al igual que estima el derecho cuando el titular, independientemente de que sea un cargo histórico o actual, informa sobre una situación que puede originar conflicto entre esta información y su ámbito personal. Quinto, en lo que se refiere al resto de la resolución niega que como se indica en el Fundamento II de la resolución recurrida, AXESOR comercialice los datos de cargos históricos con fines de publicidad y de prospección comercial. Finalmente, teniendo en cuenta que la resolución ha sido publicada, se solicita la suspensión de la publicación de la resolución recurrida en la página web de la Agencia al entender que tal publicación crea indefensión y vulnera el principio de presunción de inocencia. Se pone de manifiesto que los perjuicios que se le podrían causar a AXESOR de no acordarse la suspensión de la publicación serían irreparables o, cuando menos, de muy difícil reparación pues se estaría produciendo un daño comercial y de imagen que afectaría al honor de la entidad protegido por el artículo 18.1 de la Constitución Española , cuyo prestigio y reputación logrados a lo largo de su trayectoria podrían quedar empañados debido a su ambigüedad, todo ello de forma injustificada puesto que no se ha producido ningún incumplimiento de la LOPD en el desarrollo de su actividad. A su juicio, la suspensión de la publicación no perjudica ni a la AEPD, ni al interés general ni al de terceros, y constituye el único medio que permitirá, en pro del principio de presunción de inocencia, la protección al derecho fundamental al honor del que AXESOR, en su condición de persona jurídica, también ostenta. . TERCERO: Con fecha 26 de junio de 2015 el Director de la Agencia Española de Protección de Datos resolvió inadmitir el citado recurso de reposición por extemporáneo, por cuanto se consideró presentado como fuera del plazo de un mes fijado para ello en el artículo 117.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). No obstante lo cual, la recurrente, en escrito presentado el 1 de julio de 2015, ha acreditado que el mencionado recurso tuvo entrada en esta Agencia con fecha 22 de mayo de 2015, motivo por el que solicita se tenga por acreditada dicha fecha de presentación del escrito de interposición del recurso de reposición y se subsane el error, procediéndose a la admisión del recurso y entrando a valorar sobre el fondo del asunto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/28 FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En la resolución de 26 de junio de 2015, en el fundamento de Derecho II se disponía lo siguiente: “El artículo 117.1 de la LRJPAC, establece el plazo de un mes para la interposición del recurso de reposición, si el acto fuera expreso, añadiendo el artículo 113.1 de la misma Ley que la resolución del recurso estimará, en todo o en parte, o desestimará las pretensiones formuladas en el mismo o declarará su inadmisión. En el presente caso, la resolución del Director de la Agencia de Protección de Datos de fecha 16 de abril de 2015, fue notificada al recurrente en fecha 24 de abril de 2015, y el recurso de reposición fue presentado en esta Agencia en fecha 26 de mayo de 2015 conforme consta en el sello de Registro de Entrada. Por lo tanto se plantea la extemporaneidad del citado recurso. Para fijar el “dies a quo” hay que estar a lo dispuesto en el artículo 48.2 de la LRJPAC, en virtud del cual el cómputo inicial se ha de realizar en este caso desde el día siguiente a la notificación, y ha de concluir el mismo día de la práctica de la notificación, pero del mes siguiente, ya que, de lo contrario, se contaría dos veces el citado día, es decir al inicio y al final del cómputo. En este sentido la Sentencia de la Audiencia Nacional de 22/05/2005, recuerda la doctrina de la Sala Tercera del Tribunal Supremo (Sentencias de 4/04/1998, 13/02/1999 y 3/06/1999, 4/07/2001 y 9/10/2001, y 27/03/2003) en virtud de la cual, cuando se trata de un plazo de meses, el cómputo ha de hacerse según el artículo 5 del Código Civil al que se remite el artículo 185.1 de la Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial, es decir, de fecha a fecha, para lo cual, si bien se inicia al día siguiente, concluye el día correlativo al de la notificación del mes que corresponda. Concluye la Sentencia citada de 22/05/2005, que ello no es contrario a lo principios de “favor actioni” y “pro actione”, ya que ambos tienen como límite, que no es posible desconocer, lo establecido en la Ley. En este caso, además, resulta de aplicación lo previsto en el artículo 48.3 de la LRJPAC que establece que “Cuando el último día del plazo sea inhábil, se entenderá prorrogado al primer día hábil siguiente.”, ya que el plazo del mes vencía en un día festivo, concretamente el domingo 24 de mayo de 2015. De esta forma, teniendo en cuenta que el plazo se prorrogaba al primer día hábil siguiente, es decir, al día 25 de mayo de 2015, la interposición de recurso de reposición en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/28 fecha 26 de mayo de 2015 supera el plazo de interposición establecido legalmente, por lo que procede inadmitir dicho recurso por extemporáneo.” III Por su parte, el artículo 105.1 de la LRJ- PAC, de Revocación de actos y rectificación de errores dispone que: “Las Administraciones Públicas podrán revocar en cualquier momento sus actos de gravamen o desfavorables, siempre que tal revocación no constituya dispensa o exención no permitida por las leyes, o sea contraria al principio de igualdad, al interés público o al ordenamiento jurídico” En el presente recurso, y habiéndose acreditado la existencia de un error en cuanto al cómputo de la fecha a quo de la presentación del recurso de reposición y tratándose de un acto de gravamen en cuanto al declararse extemporáneo no se entró en el fondo del tema, procede revocar la resolución de 26 de junio de 2015, por el que se acordaba la inadmisión del recurso de reposición por extemporáneo. IV En relación con la manifestación efectuada por AXESOR sobre que la resolución recurrida induce a interpretar, debido a las conclusiones ambiguas y confusas a las que llega, que la recurrente incumple en alguna medida la normativa vigente en materia de protección de datos en los tratamientos afectados por dicha resolución, debe precisarse que se trata de una apreciación carente de fundamento a la vista de la propia Resolución de Archivo de Actuaciones acordada como resultado de las mismas. Conviene señalar que las actuaciones de investigación efectuadas por la Subdirección General de Inspección de Datos de esta Agencia se han realizado de conformidad con las disposiciones contempladas en el capítulo III del Real Decreto Ley 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la LOPD, (en adelante RDLOPD), el cual resulta de aplicación a este supuesto de conformidad con lo previsto en el artículo 120.1 del mismo Reglamento. No hay que olvidar que la AEPD, en ejercicio de sus competencias practicó, de oficio, cuantas actuaciones previas consideró necesarias y en la forma que estimó más conveniente en función de los medios disponibles y de la información obtenida en el transcurso de las investigaciones practicadas, sin que del resultado del examen de los tratamientos de datos personales que afectaban a los ficheros analizados en la resolución ahora recurrida se constatasen hechos concretos, o indicios de prueba suficientes, constitutivos de posible infracción a la LOPD, lo que motivó, la resolución de archivo de las actuaciones previas de inspección E/00822/2014 practicadas en cumplimiento de lo ordenado por el Director de la Agencia Española de Protección de Datos en el expediente nº E/04639/2013. Sobre este último particular téngase en cuenta que los apartados 1 al 2 del artículo 122 del Real Decreto 1720/2007, por el que se aprueba el Reglamento de Desarrollo de la LOPD, disponen respecto a la realización de actuaciones previas de investigación lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/28 “1. Con anterioridad a la iniciación del procedimiento sancionador, se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación. En especial, estas actuaciones se orientarán a determinar, con la mayor precisión posible, los hechos que pudieran justificar la incoación del procedimiento, identificar la persona u órgano que pudiera resultar responsable y fijar las circunstancias relevantes que pudieran concurrir en el caso. 2. Las actuaciones previas se llevarán a cabo de oficio por la Agencia Española de Protección de Datos, bien por iniciativa propia o como consecuencia de la existencia de una denuncia o una petición razonada de otro órgano. “ A su vez, el artículo 126.del citado Real Decreto 1720/2007 establece que: “1. Finalizadas las actuaciones previas, éstas se someterán a la decisión del Director de la Agencia Española de Protección de Datos. Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso. 2. En caso de apreciarse la existencia de indicios susceptibles de motivar la imputación de una infracción, el Director de la Agencia Española de Protección de Datos dictará acuerdo de inicio de procedimiento sancionador o de infracción de las Administraciones públicas, que se tramitarán conforme a lo dispuesto, respectivamente, en las secciones tercera y cuarta del presente capítulo.” Por tanto, la resolución de archivo impugnada se acordó al valorarse por el Director de la AEPD que, a la vista de los elementos fácticos obrantes en las actuaciones previas practicadas, no se apreciaba la existencia de posibles responsabilidades administrativas en los tratamientos analizados durante el desarrollo de las mismas que pudieran justificar la imputación de una infracción a la normativa de protección de datos, y, en consecuencia, la incoación de apertura de un procedimiento sancionador. De hecho, se considera que tal resolución motivaba y resolvía todas las cuestiones planteadas en el expediente en relación con la información personal objeto de tratamiento en los diferentes ficheros estudiados, tal y como dispone el artículo 138.1 de la LRJPAC, tal y como permite comprobar la transcripción de los Fundamentos de Derecho II al IV, ambos inclusive, de la Resolución recurrida que se efectúa a continuación: <<II Teniendo en cuenta que el estudio que nos ocupa se centra en bases de datos comercializadas por AXESOR para usos publicitarios y que, entre otra información, contienen datos de carácter personal procedentes, básicamente, de fuentes de acceso público (BORME y repertorios telefónicos) y, complementariamente, del fichero de ALIMARKET alimentado con datos procedentes de encuestas, a los efectos de dilucidar las cuestiones que han dado origen a las presentes actuaciones de investigación conviene citar, con carácter previo al análisis de las mismas, la normativa de protección de datos que resulta de aplicación en los supuestos objeto de estudio referidos a los mencionados ficheros titularidad de AXESOR. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/28 El artículo 6 de la Ley Orgánica, 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en adelante LOPD, establece sobre el principio del “Consentimiento del afectado” que: 1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado. “ Es decir, el tratamiento de datos de carácter personal requiere, con carácter general, el consentimiento previo e inequívoco del titular de los mismos, excepción hecha de la existencia de legitimación legal para ello o que se produzcan los supuestos recogidos en la propia normativa de aplicación. A su vez, el artículo 3

  1. j)de dicha norma entiende como “Fuentes accesibles al público: aquellos ficheros cuya consulta puede ser realizada, por cualquier persona, no impedida por una norma limitativa o sin más exigencia que, en su caso, el abono de una contraprestación. Tienen la consideración de fuentes de acceso público, exclusivamente, el censo promocional, los repertorios telefónicos en los términos previstos por su normativa específica y las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección e indicación de su pertenencia al grupo. Asimismo, tienen el carácter de fuentes de acceso público los diarios y boletines oficiales y los medios de comunicación. “ El artículo 4 de la LOPD establece en cuanto al principio de “Calidad de los datos” lo siguiente: “1. Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido. 2. Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos. 3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/28 4. Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16. 5. Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados. No serán conservados en forma que permita la identificación del interesado durante un período superior al necesario para los fines en base a los cuales hubieran sido recabados o registrados. Reglamentariamente se determinará el procedimiento por el que, por excepción, atendidos los valores históricos, estadísticos o científicos de acuerdo con la legislación específica, se decida el mantenimiento íntegro de determinados datos. 6. Los datos de carácter personal serán almacenados de forma que permitan el ejercicio del derecho de acceso, salvo que sean legalmente cancelados. 7. Se prohíbe la recogida de datos por medios fraudulentos, desleales o ilícitos.” En relación con los “Datos incluidos en las fuentes de acceso público” el apartado 3 del artículo 28 de la LOPD dispone que: “3. Las fuentes de acceso público que se editen en forma de libro o algún otro soporte físico, perderán el carácter de fuente accesible con la nueva edición que se publique. En el caso de que se obtenga telemáticamente una copia de la lista en formato electrónico, ésta perderá el carácter de fuente de acceso público en el plazo de un año, contado desde el momento de su obtención. Por su parte, el artículo 30 de la LOPD establece sobre “Tratamientos con fines de publicidad y de prospección comercial”, que es una de las finalidades declarada por AXESOR sobre el uso dado a sus bases de datos, lo siguiente: “1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, utilizarán nombres y direcciones u otros datos de carácter personal cuando los mismos figuren en fuentes accesibles al público o cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento. 2. Cuando los datos procedan de fuentes accesibles al público, de conformidad con lo establecido en el párrafo segundo del artículo 5.5 de esta Ley, en cada comunicación que se dirija al interesado se informará del origen de los datos y de la identidad del responsable del tratamiento, así como de los derechos que le asisten. “ Paralelamente, también resultan de aplicación en razón del origen y finalidad de los datos personales objeto de tratamiento los siguientes artículos del Real Decreto 1720/2007, de 21 de diciembre, del Reglamento de Desarrollo de la LOPD, en adelante RDLOPD: El artículo 2 de dicho Reglamento establece en cuanto a su ”Ámbito objetivo de aplicación” que: “1. El presente reglamento será de aplicación a los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de esos datos por los sectores público y privado. 2. Este reglamento no será aplicable a los tratamientos de datos referidos a personas jurídicas, ni a los ficheros que se limiten a incorporar los datos de las personas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/28 físicas que presten sus servicios en aquéllas, consistentes únicamente en su nombre y apellidos, las funciones o puestos desempeñados, así como la dirección postal o electrónica, teléfono y número de fax profesionales. 3. Asimismo, los datos relativos a empresarios individuales, cuando hagan referencia a ellos en su calidad de comerciantes, industriales o navieros, también se entenderán excluidos del régimen de aplicación de la protección de datos de carácter personal. “ El artículo 7 del citado RDLOP lo siguiente: dispone sobre “Fuentes accesibles al público” “1. A efectos del artículo 3, párrafo
  2. j)de la Ley Orgánica 15/1999, se entenderá que sólo tendrán el carácter de fuentes accesibles al público:
  3. a)El censo promocional, regulado conforme a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre.
  4. b)Las guías de servicios de comunicaciones electrónicas, en los términos previstos por su normativa específica.
  5. c)Las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección profesional e indicación de su pertenencia al grupo. La dirección profesional podrá incluir los datos del domicilio postal completo, número telefónico, número de fax y dirección electrónica. En el caso de Colegios profesionales, podrán indicarse como datos de pertenencia al grupo los de número de colegiado, fecha de incorporación y situación de ejercicio profesional.
  6. d)Los diarios y boletines oficiales.
  7. e)Los medios de comunicación social. 2. En todo caso, para que los supuestos enumerados en el apartado anterior puedan ser considerados fuentes accesibles al público, será preciso que su consulta pueda ser realizada por cualquier persona, no impedida por una norma limitativa, o sin más exigencia que, en su caso, el abono de una contraprestación. “ La misma norma reglamentaria fija en su artículo 8.6 en cuanto a los “Principios relativos a la calidad de los datos” la siguiente exigencia: “6. Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados. No obstante, podrán conservarse durante el tiempo en que pueda exigirse algún tipo de responsabilidad derivada de una relación u obligación jurídica o de la ejecución de un contrato o de la aplicación de medidas precontractuales solicitadas por el interesado. Una vez cumplido el período al que se refieren los párrafos anteriores, los datos sólo podrán ser conservados previa disociación de los mismos, sin perjuicio de la obligación de bloqueo prevista en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento. “ III De la información obrante en el expediente y recabada en fase de actuaciones previas de inspección a continuación se procede a analizar la adecuación de los dos ficheros objeto de investigación a la normativa en materia de protección de datos. 1. CARGOS Y DIRECTIVOS DE SOCIEDADES La información obrante en este fichero, del que se alimentan las bases de datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/28 comercializadas por AXESOR, se nutre, por un lado, y como fuente principal, de los datos publicados sobre nombramientos y ceses de administradores y demás cargos sociales de las entidades inscritas en el Registro Mercantil que aparecen publicados en el Boletín Oficial del Registro Mercantil (BORME), y, por otro lado, como fuente complementaria de la anterior, de los datos de contacto sobre directivos facilitados por ALIMARKET procedentes de las encuestas realizadas por dicha entidad directamente con las empresas. Según AXESOR la información sobre los cargos sociales que componen los órganos de administración de las empresas procedente del BORME, boletín oficial que es una fuente de acceso público conforme lo previsto en el artículo 3.
  8. j)de la LOPD, se clasifica y actualiza diariamente con arreglo al estado del cargo publicado en dicho Boletín. De esta forma, la información recogida del BORME se clasificará agregada a los “Órganos Sociales Activos” o a los “Órganos Sociales Históricos” de las empresas que integran el fichero de “Cargos y Directivos de Sociedades” en función de si el cargo aparece publicado en el citado Boletín como activo o cesado. A los efectos de claridad de exposición, se analizarán separadamente los dos tipos de información objeto de investigación del presente expediente. En primer lugar, se analizará el tratamiento efectuado por AXESOR respecto de la información obtenida del BORME de los cargos de administración de las empresas cesados, que se corresponde con la información clasificada en el fichero por AXESOR como de “Órganos Sociales Históricos” y que conforma el denominado fichero “histórico” de datos del BORME en este expediente. En segundo lugar, se estudiará el tratamiento efectuado por AXESOR de la información que le facilita ALIMARKET respecto de los datos personales de contacto de directivos de empresas no integrados en los órganos de gobierno de las mismas, y de la que AXESOR ha indicado, sin que haya concurrido prueba en contrario, que no existe “histórico” al actualizarse diariamente estos datos. Por lo cual, el análisis efectuado no afecta al tratamiento realizado por AXESOR de los datos de las personas físicas recabados del BORME que ocupan cargos de administración en las empresas, los denominados “Órganos Sociales Activos” por el responsable del fichero, toda vez que el tratamiento de dicha información ya fue examinado en la resolución acordada por esta Agencia en el expediente de actuaciones previas de investigación E/04639/2013. 1.1 Fichero “Histórico” de cargos cesados procedentes del BORME, que engloba a los “Órganos Sociales Históricos” de las empresas. Con carácter general, el tratamiento con fines comerciales de datos de carácter personal procedentes de fuentes accesibles al público está amparado por la excepción al principio del consentimiento de los afectados recogida en el artículo 6.2 de la LOPD, precepto que exime de dicha obligación cuando ”los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. “ No obstante lo cual, esta Agencia ha considerado adicionalmente conveniente examinar si la accesibilidad y disponibilidad de los datos personales contenidos en el fichero “Histórico” de cargos cesados del BORME, -y que proceden, por tanto, de una fuente accesible al público según lo dispuesto en los artículos 3.j de la LOPD y 7.1.
  9. d)del RDLOPD -, pudiera ser inadecuada y excesiva en relación con el ámbito y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/28 finalidades del fichero de “Cargos y Directivos de Sociedades”, y que según declaró AXESOR al inscribirlo en el Registro General de Protección de Datos eran la “inclusión en informes de sociedades mercantiles, comercialización de bases de datos de prospección comercial o usos estadísticos, históricos o científicos”. AXESOR ha indicado que tal tratamiento permite facilitar a sus clientes una información mercantil completa y puesta al día sobre las sociedades mercantiles españolas y sus administradores, lo que engloba a los cargos de administración cesados que han compuesto los órganos de administración de las empresas incluidas en el fichero, recalcando, en forma especial, que éstos continúan respondiendo frente a terceros de derechos y obligaciones derivadas de las acciones del desempeño y administración de sus cargos en dichas sociedades, pudiendo por ello serles exigidas responsabilidades en el ámbito mercantil, penal o civil hasta la prescripción de tales acciones. En relación con esta cuestión conviene tener en cuenta lo dispuesto en los artículos 225, 226, 236 y 241 de la Ley de Sociedades de Capital (LSC), aprobado por Real Decreto Legislativo 1/2010, de 2 de julio. El citado artículo 225, relativo al deber de diligencia, dispone lo siguiente: “1. Los administradores desempeñarán su cargo con la diligencia de un ordenado empresario. 2. Cada uno de los administradores deberá informarse diligentemente de la marcha de la sociedad”. El mencionado artículo 226, relativo al deber de lealtad, establece que: “Los administradores desempeñaran su cargo como un representante leal en defensa del interés social, entendido como interés de la sociedad, y cumplirán los deberes impuestos por las leyes y los estatutos”. Los apartados 1 y 2 del artículo 236, en lo relativo a la responsabilidad de los administradores, establecen que: “1. Los administradores responderán frente a la sociedad, frente a los socios y frente a los acreedores sociales, del daño que causen por actos u omisiones contrarios a la ley o a los estatutos o por los realizados incumpliendo los deberes inherentes al desempeño del cargo, siempre y cuando haya intervenido dolo o culpa. La culpabilidad se presumirá, salvo prueba en contrario, cuando el acto sea contrario a la ley o a los estatutos sociales. 2. En ningún caso exonerará de responsabilidad la circunstancia de que el acto o acuerdo lesivo haya sido adoptado, autorizado o ratificado por la junta general. ” Por último, el artículo 241 bis de la citada LSC, en cuanto a la prescripción de las acciones de responsabilidad, establece que: “La acción de responsabilidad contra los administradores, sea social o individual, prescribirá a los cuatro años a contar desde el día en que hubiera podido ejercitarse”. (el subrayado es de la AEPD) Teniendo en cuenta lo previsto en la reseñada normativa de la LSC y que los datos de carácter personal de los cargos de administración cesados proceden del BORME, esta Agencia entiende que el tratamiento realizado en este fichero “Histórico” únicamente resulta pertinente y no excesivo cuando se circunscriba a los cargos cesados susceptibles de exigírseles responsabilidades dimanantes del ejercicio de sus puestos de administración o gobierno empresarial, y siempre y cuando no se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/28 trate de datos que hagan referencia a una información prescrita u obsoleta a los posible efectos jurídicos pretendidos. De este modo, cualquier otro tratamiento de los datos personales de los citados cargos de administración cesados al margen de las responsabilidades societarias que pudieran derivarse del desempeño de los mismos superaría, conforme a lo razonado en el párrafo anterior, el interés legítimo ostentado por AXESOR para tratar dicha información en el fichero de “Cargos y Directivos de Sociedades” sin el consentimiento de sus titulares. En línea con lo cual, la utilización y venta por AXESOR con fines de publicidad y de prospección comercial de los datos personales de quienes ya no ostentan posiciones de administración y gobierno en las sociedades mercantiles supondría, a juicio de esta Agencia, un uso desproporcionado y excesivo de la información personal correspondiente a estos “Órganos Sociales Históricos” (cargos cesados o fichero “Histórico”) en relación con las finalidades para las que dicha empresa recoge tal información del BORME. Todas estas consideraciones traen causa del principio de proporcionalidad en el tratamiento de datos personales recogido en el artículo 4.1 de la LOPD, que se recuerda dispone que: “Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido”. En congruencia con todo lo expresado, AXESOR sólo podrá registrar los datos personales de los “Cargos Sociales Históricos” en el fichero de “Cargos y Directivos de Sociedades”, -y del que extrae las bases de datos e informes de naturaleza empresarial que comercializa-, a los únicos efectos de las posibles responsabilidades societarias de los administradores cesados de las empresas, debiendo cancelar dichos datos una vez cumplido el plazo de prescripción de la acción de responsabilidad, tal y como disponen los artículos 4.5 de la LOPD y 8.6 del RDLOPD. Asimismo, se recuerda que cuando no resulta necesario contar con el consentimiento de los afectados para el tratamiento de sus datos de carácter personal, tal y como ocurre en el supuesto que nos ocupa, y siempre que una ley no disponga lo contrario, el responsable del fichero deberá atender el derecho de oposición al tratamiento ejercido por los afectados cuando se justifique en motivos fundados y legítimos relativos a una concreta situación personal, tal y como se establece en el artículo 6.4 de la LOPD ya transcrito en el anterior Fundamento de Derecho y se contempla en el apartado
  10. a)del artículo 34 del RDLOPD, según el cual: “El derecho de oposición es el derecho del afectado a que no se lleve a cabo el tratamiento de sus datos de carácter personal o se cese en el mismo en los siguientes supuestos:
  11. a)Cuando no sea necesario su consentimiento para el tratamiento, como consecuencia de la concurrencia de un motivo legítimo y fundado, referido a su concreta situación personal, que lo justifique, siempre que una Ley no disponga lo contrario. “ 1.2 En cuanto a la información procedente de ALIMARKET, la cuestión se centra en determinar si AXESOR trata los datos personales de los directivos facilitados por ALIMARKET como meros datos de contacto empresarial o, por el contrario, los usa para finalidades distintas de las propias del mantenimiento de una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/28 relación empresarial con la entidades en las que estos directivos desarrollan su actividad, en cuyo caso el tratamiento estaría sometido a la normativa de protección de datos por exceder de las meras relaciones empresariales de contacto entre personas jurídicas a las que se refiere la exclusión del artículo 2.2 del RDLOPD, puesto que el dato personal de contacto pasa de ser utilizado como un medio para acceder a la empresa a una forma de contactar con el sujeto que ostenta una determinada posición en la empresa. Estos datos de contacto son volcados y actualizados diariamente por ALIMARKET en el reseñado Fichero de “Cargos y Directivos Sociales”, no existiendo ningún histórico de esta información. Para establecer si la inclusión de estos datos personales de Directivos procedentes de ALIMARKET en las bases de datos de contacto empresariales comercializadas por AXESOR con fines publicitarios constituye, o no, un tratamiento excluido del ámbito de aplicación de la LOPD conviene acudir al mismo informe del Gabinete Jurídico de la Agencia citado en la resolución de Archivo del expediente E/04639/2013, que contestaba una consulta sobre la aplicación de los artículos 2.2 y 2.3 del citado Reglamento, y en el que se señalaba: <<“En consecuencia, la Agencia ha venido señalando que en los supuestos en que el tratamiento del dato de la persona de contacto es meramente accidental en relación con la finalidad del tratamiento, referida realmente a las personas jurídicas en las que el sujeto presta sus servicios, no resulta de aplicación lo dispuesto en la Ley Orgánica 15/1999, viniendo el Reglamento a plasmar este principio. No obstante, nuevamente, es necesario que el tratamiento del dato de la persona de contacto sea accesorio en relación con la finalidad perseguida. Ello se materializará mediante el cumplimiento de dos requisitos: El primero, que aparece expresamente recogido en el Reglamento será el de que los datos tratados se limiten efectivamente a los meramente necesarios para identificar al sujeto en la persona jurídica a la que presta sus servicios. Por este motivo, el Reglamento impone que el tratamiento se limite a los datos de nombre y apellidos, funciones o puestos desempeñados, dirección postal o electrónica, teléfono y número de fax profesionales. De este modo, cualquier tratamiento que contenga datos adicionales a los citados se encontrará plenamente sometido a la Ley Orgánica 15/1999, por exceder de lo meramente imprescindible para identificar al sujeto en cuanto contacto de quien realiza el tratamiento con otra empresa o persona jurídica. (…) El segundo de los límites se encuentra, como en el supuesto contemplado en el artículo 2.3, en la finalidad que justifica el tratamiento. Como se ha venido indicando reiteradamente, la inclusión de los datos de la persona de contacto debe ser meramente accidental o incidental respecto de la verdadera finalidad perseguida por el tratamiento, que ha de residenciarse no en el sujeto, sino en la entidad en la que el mismo desarrolla su actividad o a la que aquél representa en sus relaciones con quienes tratan los datos. De este modo, la finalidad del tratamiento debe perseguir una relación directa entre quienes traten el dato y la entidad y no entre aquéllos y quien ostente una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/28 determinada posición en la empresa. De este modo, el uso del dato debería dirigirse a la persona jurídica, siendo el dato del sujeto únicamente el medio para lograr esa finalidad. Así sucedería en caso de que el tratamiento responda a relaciones "business to business", de modo que las comunicaciones dirigidas a la empresa, simplemente, incorporen el nombre de la persona como medio de representar gráficamente el destinatario de la misma. Por el contrario, si la relación fuera "business to consumer", siendo relevante el sujeto cuyo dato ha sido tratado no sólo en cuanto a la posición ocupada sino como destinatario real de fa comunicación, el tratamiento se encontrarla plenamente sometido a la Ley Orgánica 15/1999, no siendo de aplicación lo dispuesto en el artículo 2.2 del Reglamento.">> Asimismo, resulta necesario referirse a los términos del contrato de Servicio y Suministro de Información suscrito entre ALIMARKET y AXESOR el 25 de febrero de 2014, en el que consta que el objeto del mismo “es regular la relación mercantil por la que ALIMARKET presta un servicio a AXESOR de suministro de información de: 1º Establecimientos procedentes de los Censos Alimarket y Anuarios junto con la base de datos de marcas comerciales más las actualizaciones correspondientes al periodo de vigencia del presente contrato para su venta. 2º La base de datos de accionistas públicos referentes únicamente a Sociedades Personas Jurídicas, excluida personas físicas, y la base datos Directivos y cargos de sociedades procedentes de las publicaciones en papel propiedad de ALIMARKET.” En dicho contrato ALIMARKET adquiere respecto de AXESOR obligación en relación con el tratamiento de datos de carácter personal: la siguiente “I. Si bien ninguna de las bases de datos objeto de este contrato contienen datos de carácter personal según la definición de este concepto en la LOPD y la exclusión del artículo 2.2 del RD 1720/2007 por el que se desarrolla dicha Ley, no obstante, en el caso de que en la comunicación de datos del objeto de este contrato, existieran datos de carácter personal ALIMARKET garantiza que la información contenida en sus productos ha sido recabado conforme a la legalidad vigente, con el consentimiento expreso de los titulares de los datos, o bien de fuentes de acceso público actualizadas y reconocidas en la LOPD” ALIMARKET declara que los datos relativos a Directivos y cargos de sociedades se obtienen a través de encuestas a las Sociedades donde desempeñan funciones dichos Cargos, siendo la finalidad de las encuestas entre otras la creación de las bases de datos y listados para su publicación en censos y anuarios. ALIMARKET garantiza que la cesión de estos datos se produce dentro de la legítima finalidad de dar cumplimiento al contrato de prestación de servicios suscrito entre ambas entidades, y que se encuentra dentro de los fines legítimos de ALIMARKET y AXESOR, es decir la prestación por parte de ALIMARKET de un servicio de suministro de información a AXESOR sobre Censos Alimarket y Anuarios junto con la base de datos de marcas comerciales y la base de datos de accionistas públicos referentes únicamente a Sociedades y demás personas jurídicas, así como la base de datos de directivos y cargos de sociedades procedentes de las publicaciones en papel propiedad de ALIMARKET cuyo contenido en datos en ningún caso excede de lo establecido en el art. 2.2 del RD 1720/2007 por el que se desarrolla la LOPD. “ (el subrayado es de la Agencia Española de Protección de Datos) Por su parte AXESOR se compromete a no usar la información objeto del contrato para servicios diferentes a los del objeto social de AXESOR o para cualquier otro fin que no sea el pactado en dicho contrato, en el que no consta que éstos vayan a ser utilizados con fines publicitarios. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/28 Sin embargo, ninguna de las citadas entidades inspeccionadas ha probado la existencia de un consentimiento inequívoco de los titulares de los datos personales correspondientes a los cargos directivos de contacto recabados por ALIMARKET que legitime su tratamiento por AXESOR más allá de las relaciones “business to business” a las que se asocian los ficheros de contactos de las empresas contemplados en el artículo 2.2 del RDLOPD, y que, indudablemente, no comprenden la utilización de los datos de las personas físicas que presten sus servicios en aquéllas para finalidades publicitarias al margen de sus respectivos cargos directivos en las mismas, es decir, para contactar con éstos en su condición privada y personal de consumidores o destinatarios finales de la publicidad. Téngase en cuenta que los apartados 1 y 3 del artículo 12 del RDLOPD, establecen respecto del principio general del consentimiento para el tratamiento de los datos que: “Artículo 12. Principios generales. 1. El responsable del tratamiento deberá obtener el consentimiento del interesado para el tratamiento de sus datos de carácter personal salvo en aquellos supuestos en que el mismo no sea exigible con arreglo a lo dispuesto en las leyes. La solicitud del consentimiento deberá ir referida a un tratamiento o serie de tratamientos concretos, con delimitación de la finalidad para los que se recaba, así como de las restantes condiciones que concurran en el tratamiento o serie de tratamientos. (…) 3. Corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho. “ En consecuencia, al no constar acreditado en las actuaciones practicadas el consentimiento de estos cargos “Directivos” de contacto al uso publicitario de sus datos personales para finalidades ajenas a las propias de contacto empresarial en razón del puesto desempeñado, y siendo éste un requisito necesario en los tratamientos con fines de publicidad y de prospección comercial, conforme se desprende de lo previsto en los artículos 6.1 y 30.1 de la LOPD, excepción hecha de los datos personales que procedan de fuentes accesibles al público cuyos titulares no hayan ejercido el derecho de oposición a este tipo de tratamiento o cuando hayan sido facilitados por los propios interesados a tal fin, circunstancias que en este supuesto no se producen al proceder de encuestas a empresas y no constar acreditado que los datos hayan sido facilitados por los propios directivos -, AXESOR no estaría legitimada para incluirlos sin limitación alguna en las bases de datos empresariales cuyo destino es el uso publicitario de la información de contacto contenida en las mismas. Es decir, sería un tratamiento cuyo alcance excedería del necesario para el mantenimiento del contacto empresarial al que se refiere el artículo 2.2 del RDLOPD, y que, por lo tanto, estaría sometido al principio general del consentimiento de la LOPD. En concordancia con lo indicado, AXESOR no podrá incorporar a las bases de datos e informes empresariales que comercializa con fines publicitarios los datos personales de los cargos “Directivos” de contacto facilitados por ALIMARKET, ya que tal uso respondería a su condición de consumidores individuales destinatarios finales de la publicidad, ello salvo que la entidad investigada pueda probar que media el consentimiento de los afectados para tratar sus datos en el marco de una relación “business to consumer” . Es decir, con arreglo a lo expuesto AXESOR no puede tratar los datos personales de contacto de los mencionados directivos fuera del marco de las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/28 relaciones tipo “business to business”, puesto que ni proceden de fuentes accesibles al público ni esa empresa ha acreditado contar con el consentimiento de los titulares afectados para un tratamiento de sus datos personales distinto al de mero contacto profesional con las empresas incluidas en el fichero, tal y como supondría el uso comercial y publicitario de sus nombres y apellidos como potenciales consumidores individuales y destinatarios finales de una publicidad ajena a su posición en las empresas . Lo contrario, supondría un tratamiento inconsentido de datos de carácter personal por parte de AXESOR, como empresa responsable del fichero de “Cargos y Directivos de Sociedades” que decide sobre la finalidad, contenido y uso del tratamiento dado a los datos incorporados al mismo. 2. PERSONAS FÍSICAS CON TELÉFONO AXESOR ha justificado el mantenimiento en el fichero “Histórico” de “Personas Físicas con Teléfono” de los datos personales descargados de repertorios telefónicos electrónicos una vez transcurrido el año de su obtención, y perdido por ello el carácter de fuente de acceso público de tales repertorios en virtud de lo previsto en el artículo 28.3 de la LOPD al respecto, indicando que resulta necesario por los siguientes motivos: Por una parte, para acreditar el correcto cumplimiento de las obligaciones nacidas de los contratos de comercialización de bases de datos celebrados con sus clientes frente a posibles reclamaciones o demandas de los mismos y, por otra parte, para poder exonerarse de responsabilidad en el caso de que los datos comercializados continúen siendo utilizados por los clientes una vez vencido el plazo legal de un año. También ha manifestado que se trata de información que no resulta accesible a terceros, sino que se mantiene en los ficheros internos de la entidad únicamente accesible a dos empleados con perfil de administradores a los efectos anteriormente reseñados. En definitiva, la conservación de tales datos en el citado fichero “Histórico” respondería a la necesidad de mantenerlos accesibles durante el período estrictamente necesario en que puedan exigirse a dicha empresa responsabilidades derivadas de la ejecución de dichos contratos, supuesto que, a su vez, se encuadra en la situación recogida en el artículo 8.6 del RDLOPD, transcrito en el Fundamento de Derecho II de esta resolución. Habida cuenta de lo cual, esta Agencia entiende que dicho tratamiento no vulneraría el principio relativo a la calidad de los datos mientras su conservación se produzca a los únicos efectos, y por el período imprescindible, para dar respuesta a las posibles responsabilidades contractuales señaladas en el mencionado artículo 8.6 del RDLOPD y, en todo caso, no lleve aparejado ningún tratamiento comercial ni publicitario de los mismos, debiendo procederse para ajustarse a lo previsto en el artículo 4.5 de la LOPD a su cancelación y bloqueo en cuanto hayan dejado de ser necesarios o pertinentes para dicha finalidad. IV En resumen, de lo expuesto se extraen las siguientes conclusiones: 1) En lo que respecta al fichero de “Cargos y Directivos de Sociedades”: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/28 1.1. AXESOR no está legitimada para tratar los datos personales de los “Cargos Sociales Históricos” (cesados) procedentes del BORME con un alcance superior al propio de las responsabilidades societarias contempladas en la LSC. 1.2 AXESOR no puede tratar los datos personales de contacto de los directivos de las empresas facilitados por ALIMARKET más allá de las relaciones “business to business” contempladas en el artículo 2.2 del RDLOPD, salvo que acredite contar con el consentimiento de los afectados para el tratamiento publicitario de los mismos o que procedan de fuentes accesibles al público. 2) En lo que se refiere al fichero “Histórico” de ”Personas Físicas con Teléfono”, la sociedad investigada sólo puede mantener en el mismo los datos personales procedentes de repertorios telefónicos mientras puedan exigírsele responsabilidades contractuales derivadas de la comercialización de bases de datos de particulares. 3) AXESOR deberá excluir del tratamiento los datos personales recabados de fuentes de acceso público cuando sus titulares ejerzan el derecho de oposición por producirse el supuesto recogido en los artículos 6.4 de la LOPD y 34.1.
  12. a)del RDLOPD. >> V La descontextualización efectuada por AXESOR en el recurso de las conclusiones finales realizadas por la Agencia en el Fundamento de Derecho IV de la resolución impugnada, a modo de resumen, no constituye causa suficiente para estimar la pretensión de la recurrente de eliminar de la misma el requerimiento de adoptar medidas para evitar que su actuación vulnere lo recogido en dichas conclusiones, las cuales, tampoco determinan la existencia de infracción o irregularidad alguna a la normativa de protección de datos, supuesto que de producirse hubiera dado lugar al inicio de procedimiento sancionador, o en su caso, del apercibimiento recogido en el artículo 45.6 de la LOPD. Así, de la lectura de la resolución, se aprecia que dichas conclusiones se limitan a recordar a la entidad investigada el alcance y finalidades a las que, conforme a los preceptos de la normativa de protección de datos recogidos en el Fundamento de Derecho II de dicha resolución, deben circunscribirse los tratamientos realizados por AXESOR con la información personal constitutiva de los ficheros históricos y de contacto objeto de estudio, al igual que recuerdan la procedencia de atender el derecho de oposición ejercido por los titulares de los datos de carácter personal obtenidos de fuentes accesibles al público, como los que la recurrente obtiene del BORME y los repertorios telefónicos, de acuerdo con lo dispuesto en los artículos 6.4 y 30.4 de la LOPD y 34.a y 51.1 del RDLOPD. Todo ello, sin perjuicio de que la recurrente ya disponga, en respuesta a la diligencia que le resulta exigible, de procedimientos implementados con tales finalidades. Sentado lo cual, no cabe duda de que el requerimiento de adopción de medidas pretende evitar la potencial comisión de infracciones a lo previsto en la LOPD, ahondando, por ello, en la necesidad de contar con los suficientes mecanismos de control que posibiliten, en forma efectiva, que los tratamientos efectuados se adapten a dicha Ley y su normativa de desarrollo con el mayor rigor posible. Por lo cual, se trata de una advertencia que recuerda a AXESOR sus obligaciones que no requiere la notificación a esta Agencia de las medidas adoptadas. A tenor de lo expuesto, la resolución recurrida se ha dictado respetando el principio de presunción de inocencia establecido en el artículo 24.2 de la Constitución al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/28 disponer que “los procedimientos sancionadores respetaran la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario”. En consecuencia, debe rechazarse la manifestación relativa a que la resolución impugnada ha generado indefensión y vulneración del principio de presunción de inocencia, dado que la recurrente ha dispuesto hasta el momento actual de todos los derechos y garantías previstas en el ordenamiento jurídico para la defensa de sus derechos. En este orden de ideas, de la literalidad de la resolución se desprende que, a la vista de lo actuado y la información obrante en el expediente, no se ha constatado la comisión de infracción alguna derivada de los tratamientos analizados, limitándose a advertir por la Agencia los tratamientos que, de constatarse su realización, serían contrarios a lo previsto en la norma. Además, la recurrente ha hecho uso de su derecho a la defensa mediante la interposición del recurso de reposición que nos ocupa, sobre cuya interposición potestativa se le informaba en el pie de la resolución ahora recurrida, motivos todos ellos por los que se considera que no se han vulnerado las garantías constitucionales previstas en el artículo 24 de la Constitución Española. En todo caso, no nos encontramos frente al requerimiento de medidas correctoras contemplado en el artículo 45.6 de la LOPD, precisamente porque no se ha producido una conducta infractora que origina el procedimiento de Apercibimiento , en el que se sustituye la sanción que correspondería por la comisión de una infracción leve o grave por la adopción de medidas correctoras de cesación de la actividad constitutiva de la infracción y de corrección de las consecuencias derivadas de la misma. A mayor abundamiento, no hay que olvidar que entre la funciones de la AEPD previstas en el artículo 37.1.
  13. a)de la LOPD se encuentra la de “Velar por el cumplimiento de la legislación sobre protección de datos y controlar su aplicación, en especial en lo relativo a los derechos de información, acceso, rectificación, oposición y cancelación de datos.” De todo lo expuesto hasta ahora se evidencia que la resolución de archivo impugnada se dictó siguiendo el procedimiento fijado por la normativa que resultaba de aplicación al caso y de forma motivada, al no apreciarse indicios susceptibles de motivar la imputación a la entidad investigada de una infracción a la LOPD. VI En relación con los datos recogidos en el fichero de “Cargos Sociales Históricos” procedentes del BORME, el hecho de que provengan de una fuente considerada como accesible al público únicamente exime al responsable del tratamiento del deber de obtención del consentimiento de los afectados para su utilización, pero no del resto de principios y garantías contenidas en la LOPD, entre los que se encuentra el principio de calidad de datos y el ejercicio de los derechos de acceso, rectificación, oposición y cancelación contemplados en dicha norma y su Reglamento de desarrollo. No debe olvidarse que nos encontramos frente a datos personales de cargos empresariales cesados que ya no pueden utilizarse como datos de contacto empresarial respecto de las personas jurídicas a las que venían prestando sus servicios profesionales. Respecto de estos datos la consideración a la que se refiere AXESOR contenida en el Fundamento II de la resolución recurrida no puede ser extraída de su contexto para afirmar categóricamente que la Agencia advierte que este tipo de datos se utiliza con fines publicitarios. El párrafo aludido por la recurrente debe ponerse en relación con el párrafo que lo precede en la resolución, siendo el tenor literal de ambos el que sigue: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/28 “De este modo, cualquier otro tratamiento de los datos personales de los citados cargos de administración cesados al margen de las responsabilidades societarias que pudieran derivarse del desempeño de los mismos superaría, conforme a lo razonado en el párrafo anterior, el interés legítimo ostentado por AXESOR para tratar dicha información en el fichero de “Cargos y Directivos de Sociedades” sin el consentimiento de sus titulares. En línea con lo cual, la utilización y venta por AXESOR con fines de publicidad y de prospección comercial de los datos personales de quienes ya no ostentan posiciones de administración y gobierno en las sociedades mercantiles supondría, a juicio de esta Agencia, un uso desproporcionado y excesivo de la información personal correspondiente a estos “Órganos Sociales Históricos” (cargos cesados o fichero “Histórico”) en relación con las finalidades para las que dicha empresa recoge tal información del BORME. “ Resulta evidente que la Agencia no está afirmando que los datos de los cargos sociales cesados se usen por AXESOR con fines de publicidad y prospección comercial, sino que si se comercializasen con dicha finalidad tal tratamiento “supondría” un uso desproporcionado en relación con el ámbito y finalidades determinadas para las que se han obtenido, conforme a lo previsto en el artículo 4.1 de la LOPD. Por otro lado, en lo relativo a la prescripción de las acciones que pueden ejercitarse frente a los afectados incluidos en el fichero de “Cargos Sociales Históricos”, decir que, en todo caso, la Agencia se ha limitado a indicar que no pueden mantenerse con un alcance superior al propio de las responsabilidades societarias contempladas en la LSC, es decir más allá de su prescripción o de su obsolescencia, sin prejuzgar el momento en que se produciría tal prescripción. En relación con este asunto, parece adecuada al principio de proporcionalidad la medida que AXESOR indica tener adoptada de estimar la solicitud de oposición de los afectados que han desempeñado cargos sociales de los que han sido cesados desde hace al menos 4 años, aunque esa entidad no ha aclarado si lo hace con carácter definitivo o cautelar, ya que mientras en la contestación de fecha 11 de noviembre de 2014 al requerimiento de información efectuado durante las actuaciones previas señalaba que se aceptaba la tramitación del derecho sin otra reserva que el transcurso de dicho plazo de tiempo, sin embargo, en el recurso de reposición indica que se adopta como medida cautelar. Por otra parte, la estimación del derecho de oposición en aquellos casos en que se produzcan las circunstancias personales a las que se refieren los artículo 6.4 de la LOPD y 34.
  14. a)del RDLOPD responde al cumplimiento las exigencias contenidas en dichos preceptos. VII En lo que respecta a los datos de contacto de directivos facilitados por ALIMARKET, la recurrente ha adjuntado al recurso copia por duplicado de un contrato de fecha 29 de enero de 2015 firmado por AXESOR con uno de sus clientes por la venta de bases de datos de empresas comercializadas por dicha empresa con fines de marketing publicitario. En dicho contrato, figura como una de las obligaciones del cliente, contenidas en la cláusula 2 de las “Condiciones Generales de Venta de Base de Datos” que éste “ deberá tener en cuenta que la campaña publicitaria que dirija a la persona de contacto de la base de datos, deberá tener la consideración de Business to Business para el interés o utilidad de la sociedad a la que se dirige, sin que pueda ofrecer servicios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/28 y productos que puedan ser considerados del interés exclusivo o del ámbito personal de la persona de contacto con cargo en la Empresa.”. Esta Agencia considera que se trata de una medida adecuada, aunque en la información ofrecida en su página web http://www.axesor.es sobre los productos comercializados, entre ellos las “Bases de Datos de Marketing”, no se ha localizado ninguna mención relativa a los límites a los que está sujeto el tratamiento de la información personal que puedan contener, siendo necesario, asimismo, evitar todo tipo de afirmaciones o expresiones que pudieran inducir a considerar que el tratamiento “Business to Consumer” de los datos de contacto resulta procedente. VIII En lo referente al fichero “Histórico” de “Personas Físicas con Teléfono”, esta Agencia no ha hecho otra cosa que recordar la procedencia de cancelar los datos personales contenidos en el mismo, prevista en el artículo 4.5 de la LOPD, una vez no sea necesaria o pertinente su conservación a los efectos de las responsabilidades contractuales nacidas de la comercialización de bases de datos de particulares en los que se justifica su mantenimiento en dicho fichero y desarrollada en el artículo 8.6 del Real Decreto 1720/2007. IX Finalmente, AXESOR solicita la eliminación de la resolución recurrida de la página web de la AEPD ante el daño irreparable que su publicación causa en el prestigio y buen nombre de la empresa, bien intangible protegido constitucionalmente por el derecho al honor del artículo 18.1 de la Constitución Española, manteniendo, además, que su publicación vulnera el principio de presunción de inocencia Los artículos 1.1 y 2 de la Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen, establecen lo siguiente: “Artículo primero. Uno. El Derecho Fundamental al Honor, a la Intimidad Personal y Familiar y a la Propia Imagen, garantizado en el artículo 18 de la Constitución, será protegido civilmente frente a todo género de intromisiones ilegítimas, de acuerdo con lo establecido en la presente Ley Orgánica”. “Artículo segundo. Uno. La protección civil del honor, de la intimidad y de la propia imagen quedará delimitada por las leyes y por los usos sociales atendiendo al ámbito que, por sus propios actos, mantenga cada persona reservado para sí misma o su familia. Dos. No se apreciará la existencia de intromisión ilegítima en el ámbito protegido cuando estuviere expresamente autorizada por Ley o cuando el titular del derecho hubiere otorgado al efecto su consentimiento expreso. Tres. El consentimiento a que se refiere el párrafo anterior será revocable en cualquier momento, pero habrán de indemnizarse en su caso, los daños y perjuicios causados, incluyendo en ellos las expectativas justificadas. “ C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 26/28 La publicación de la resolución recurrida se ha efectuado de conformidad con lo dispuesto en el artículo 37.2 de la LOPD, que establece la obligación de publicar las resoluciones que se adopten por esta Agencia: “2. Las resoluciones de la Agencia Española de Protección de Datos se harán públicas, una vez hayan sido notificadas a los interesados. La publicación se realizará preferentemente a través de medios informáticos o telemáticos. Reglamentariamente podrán establecerse los términos en que se lleve a cabo la publicidad de las citadas resoluciones. Lo establecido en los párrafos anteriores no será aplicable a las resoluciones referentes a la inscripción de un fichero o tratamiento en el Registro General de Protección de Datos ni a aquéllas por las que se resuelva la inscripción en el mismo de los Códigos tipo, regulados por el artículo 32 de esta Ley Orgánica”. La Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos, sobre publicación de sus resoluciones, señala que “La Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, tras la modificación introducida por el artículo 82.1 de la Ley 62/2003, de 30 de diciembre, de Medidas Fiscales, Administrativas y del Orden Social, establece en el artículo 37.2 que las resoluciones de la Agencia Española de Protección de Datos, a excepción de las correspondientes a la inscripción de un fichero o tratamiento en el Registro General de Protección de Datos y de aquéllas por las que se resuelva la inscripción en el mismo de los códigos tipo regulados en el artículo 32 de la citada Ley, se harán públicas, una vez hayan sido notificadas a los interesados, preferentemente a través de medios informáticos o telemáticos.” A su vez, los artículos 115 y 116 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, establecen sobre los procedimientos tramitados por esta Agencia que: “Artículo 115. Régimen aplicable. 1. Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el presente título, y supletoriamente, por la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común. 2. Específicamente serán de aplicación las normas reguladoras del procedimiento administrativo común al régimen de representación en los citados procedimientos. Artículo 116. Publicidad de las resoluciones. 1. La Agencia Española de Protección de Datos hará públicas sus resoluciones, con excepción de las correspondientes a la inscripción de un fichero o tratamiento en el Registro General de Protección de Datos y de aquéllas por las que se resuelva la inscripción en el mismo de los códigos tipo, siempre que se refieran a procedimientos que se hubieran iniciado con posterioridad al 1 de enero de 2004, o correspondan al archivo de actuaciones inspectoras incoadas a partir de dicha fecha. 2. La publicación de estas resoluciones se realizará preferentemente mediante su inserción en el sitio web de la Agencia Española de Protección de Datos, dentro del plazo de un mes a contar desde la fecha de su notificación a los interesados. 3. En la notificación de las resoluciones se informará expresamente a los interesados de la publicidad prevista en el artículo 37.2 de la Ley Orgánica 15/1999, de 13 de diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 27/28 4. La publicación se realizará aplicando los criterios de disociación de los datos de carácter personal que a tal efecto se establezcan mediante Resolución del Director de la Agencia. “ Una vez justificados en el Fundamento de Derecho II de esta resolución los motivos por los que la resolución recurrida no vulnera el principio de presunción de inocencia recogido en el artículo 24 de la Constitución Española, no ha lugar a entender que la publicación de la misma pueda perjudicar la imagen de AXESOR en el mercado, fundamentalmente teniendo en cuenta que en la misma no se imputa ningún tipo de actuación que vulnere la normativa de protección de datos, ni tampoco se afirma que la recurrente la incumpla. Por otra parte, tal y como también se ha señalado, en modo alguno pueden considerarse como confusas o ambiguas las conclusiones a las que se llega en la misma, tratándose de simples recordatorios de los límites que deben respetar los diferentes tratamientos, todos ellos fundamentados en las obligaciones y garantías establecidas en la LOPD y su normativa de desarrollo. Tampoco tiene naturaleza correctiva el requerimiento de adoptar medidas efectuado en la parte dispositiva final de la resolución, sino que, como se ha dicho, se recogen como recordatorio de las medidas que debe adoptar AXESOR en los tratamientos de datos objeto de estudio. A mayor abundamiento, en este caso resultaría de aplicación lo dispuesto en el artículo 2.2 de la citada Ley Orgánica 1/1982, de 5 de mayo, toda vez que la publicación de la resolución recurrida responde al cumplimiento de la previsión legal establecida en el artículo 37.2 de la LOPD. A lo ya expuesto, hay que añadir que la recurrente no ha especificado el supuesto concreto de los recogidos en el artículo 7.7 de la mencionada Ley Orgánica 1/1982 en los que se basaría la intromisión en el honor y la credibilidad de AXESOR. En consecuencia, se mantendrá publicada la resolución recurrida en la página web de la AEPD, al igual que se procederá a la publicación de la resolución adoptada en el presente recurso de reposición, publicación que resulta, por otra parte, también relevante para el conocimiento por los eventuales clientes de AXESOR de los límites en el tratamiento de los datos provenientes de sus bases de datos que les afectan. X Por tanto, dado que, en el presente recurso de reposición, no se han aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, procede acordar su desestimación. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: REVOCAR la resolución dictada el 26 de junio de 2015 de inadmisión por extemporáneo del recurso de reposición interpuesto por AXESOR CONOCER PARA DECIDIR, S.A. contra contra la resolución de 16 de abril de 2015. SEGUNDO: DESESTIMAR el recurso de reposición interpuesto por AXESOR CONOCER PARA DECIDIR, S.A. contra la resolución de esta Agencia dictada con fecha 16 de abril de 2015, en el expediente de actuaciones previas de inspección E/00822/2014. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 28/28 TERCERO: NOTIFICAR la presente resolución a AXESOR CONOCER PARA DECIDIR, S.A. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.