1/6 Procedimiento nº: E/00843/2015 ASUNTO: Recurso de Reposición Nº RR/00989/2015 Examinado el recurso de reposición interpuesto por A.A.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/00843/2015 y en consideración a los siguientes HECHOS PRIMERO: Con fecha 17/11/2015, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/00843/2015, procediéndose al archivo de actuaciones en aplicación del principio de presunción de inocencia. Dicha resolución fue notificada al recurrente en fecha 25/11/2015, como lo acredita el acuse de recibo del servicio de correos que obra en el expediente. SEGUNDO: A.A.A. (en lo sucesivo, la recurrente) ha presentado en esta Agencia, en fecha 15/12/2015, recurso de reposición, fundamentándolo en esencia en las mismas alegaciones ya formuladas con anterioridad. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II La Ley 30/1992, de Régimen Jurídico de las Administraciones Públicas, (LRJPAC), vigente cuando se interpuso el recurso de reposición que nos ocupa, dictaminaba en su artículo 117.2 que el plazo para dictar y notificar la resolución del recurso era de un mes. En idéntico sentido se pronuncia la LPACAP, artículo 124.2. Constatada la inexplicable irregularidad que se ha producido en relación al cumplimiento del plazo fijado por la Ley para resolver el recurso de reposición, no puede obviarse que tanto la LRJPAC como la LPACAP imponen a la Administración, en todo caso, la obligación de dictar resolución expresa. El artículo 42.1 de la LRJPAC dictaminaba: “La Administración está obligada a dictar resolución expresa en todos los procedimientos y a notificarla cualquiera que sea su forma de iniciación”. Prácticamente idéntica es la disposición del artículo 21.1 de la LPACAP. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 III Como fundamentos de la resolución recurrida se hicieron constar los siguientes: <<II El artículo 16 de la LOPD, “Derecho de rectificación y cancelación”, dispone: “1. El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días. 2. Serán rectificados o cancelados, en su caso, los datos de carácter personal cuyo tratamiento no se ajuste a lo dispuesto en la presente Ley y, en particular, cuando tales datos resulten inexactos o incompletos. 3. La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión. (…)” A su vez, el artículo 17 de la LOPD, además de advertir que no se exigirá contraprestación alguna para el ejercicio de los derechos de acceso, rectificación, cancelación y oposición –ARCO-, por lo que atañe al procedimiento para el ejercicio de estos derechos, remite al Reglamento desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007 (en lo sucesivo, RLOPD). El artículo 24 del RLOPD, bajo la rúbrica “Condiciones generales para el ejercicio de los derechos de acceso, rectificación, cancelación y oposición” dispone: “1. Los derechos de acceso, rectificación, cancelación y oposición son derechos independientes, de tal forma que no puede entenderse que el ejercicio de ninguno de ellos sea requisito previo para el ejercicio de otro. 2. Deberá concederse al interesado un medio sencillo y gratuito para el ejercicio de los derechos de acceso, rectificación, cancelación y oposición. 3. El ejercicio por el afectado de sus derechos de acceso, rectificación, cancelación y oposición será gratuito y en ningún caso podrá suponer un ingreso adicional para el responsable del tratamiento ante el que se ejercitan. No se considerarán conformes a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente Reglamento los supuestos en que el responsable del tratamiento establezca como medio para que el interesado pueda ejercitar sus derechos el envío de cartas certificadas o semejantes, la utilización de servicios de telecomunicaciones que implique una tarificación adicional al afectado o cualesquiera otros medios que impliquen un coste excesivo para el interesado. 4. Cuando el responsable del fichero o tratamiento disponga de servicios de cualquier índole para la atención a su público o el ejercicio de reclamaciones relacionadas con el servicio prestado o los productos ofertados al mismo, podrá concederse la posibilidad al afectado de ejercer sus derechos de acceso, rectificación, cancelación y oposición a través de dichos servicios. En tal caso, la identidad del interesado se considerará acreditada por los medios establecidos para la identificación de los clientes del responsable en la prestación de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 sus servicios o contratación de sus productos. 5. El responsable del fichero o tratamiento deberá atender la solicitud de acceso, rectificación, cancelación u oposición ejercida por el afectado aun cuando el mismo no hubiese utilizado el procedimiento establecido específicamente al efecto por aquél, siempre que el interesado haya utilizado un medio que permita acreditar el envío y la recepción de la solicitud, y que ésta contenga los elementos referidos en el párrafo 1 del artículo siguiente”. (El subrayado es de la AEPD). El artículo 25 del RLOPD del “Procedimiento” establece: “ 1. Salvo en el supuesto referido en el párrafo 4 del artículo anterior, el ejercicio de los derechos deberá llevarse a cabo mediante comunicación dirigida al responsable del fichero, que contendrá:
- a)Nombre y apellidos del interesado; fotocopia de su documento nacional de identidad, o de su pasaporte u otro documento válido que lo identifique y, en su caso, de la persona que lo represente, o instrumentos electrónicos equivalentes; así como el documento o instrumento electrónico acreditativo de tal representación. La utilización de firma electrónica identificativa del afectado eximirá de la presentación de las fotocopias del DNI o documento equivalente. El párrafo anterior se entenderá sin perjuicio de la normativa específica aplicable a la comprobación de datos de identidad por las Administraciones Públicas en los procedimientos administrativos.
- b)Petición en que se concreta la solicitud.
- c)Dirección a efectos de notificaciones, fecha y firma del solicitante.
- d)Documentos acreditativos de la petición que formula, en su caso. 2. El responsable del tratamiento deberá contestar la solicitud que se le dirija en todo caso, con independencia de que figuren o no datos personales del afectado en sus ficheros. 3. En el caso de que la solicitud no reúna los requisitos especificados en el apartado primero, el responsable del fichero deberá solicitar la subsanación de los mismos. (…).” (El subrayado es de la AEPD) III En el presente caso, el examen de los correos electrónicos facilitados por la denunciante confirma que dirigió a la denunciada sendos mensajes el 13/10/2013 y 31/10/2013, todos ellos a Atención al socio de VOYAGE, a la dirección ***EMAIL.1 , cuyo texto evidencia que su petición era la baja de las comunicaciones comerciales (en particular, el envío de las newsletter). En el mail de 13/10/2013 la denunciante dice textualmente: “(…) He accedido al apartado de mis suscripciones en mi cuenta y he visto que ahí sólo puedo darme de baja de las newsletter que recibo. Aparte de no recibir más correos de Voyage Privé me gustaría que se CANCELARA mi cuenta, es decir, que si pusiera mis datos en la web no pudiera entrar. Espero que esta vez me haya explicado bien con el concepto “DAR DE BAJA” y sea posible gestionarlo” (El subrayado es de la AEPD) El servicio de atención al socio de Voyage Privé C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 (***EMAIL.1) respondió el 14/10/2013 informando que tomaba nota de su solicitud. En el correo de 31/10/2013 la denunciante vuelve a insistir en la misma petición y dice: “Pasados 10 días tras la petición formal de baja mi cuenta de Voyage Privé (entiendo “DAR DE BAJA” como la imposibilidad de acceder a la web) he comprobado que ésta no ha sido tramitada. Por tercera vez pido explícitamente que se ELIMINE DEFINITIVAMENTE esta cuenta en un plazo de tiempo no superior a una semana (…)” (El subrayado es de la AEPD). La denunciante no ha aportado ningún correo que acredite que la denunciada recibió ese mensaje electrónico. La denunciante aportó también a la AEPD una impresión de pantalla obtenida el 20/06/2015 que demuestra que en esa fecha sus datos personales aún figuraban asociados a la cuenta de VOYAGE, por lo que no habían sido cancelados de sus ficheros. Paralelamente, hemos de indicar que el documento denominado Condiciones Generales del servicio que ofrece VOYAGE, obtenido a través de http://miembros.voyageprive.es -que han de ser aceptadas expresamente y sin reservas por el usuario que accede a esa página-, en su apartado 15, “Datos de carácter personal”, contiene la siguiente leyenda: “Usted podrá ejercitar sus derechos de acceso, rectificación, cancelación y oposición por medio del envío de una comunicación escrita a la dirección indicada en el párrafo anterior o bien vía e-mail a la dirección de correo electrónico: ***EMAIL.2. Asimismo, podrá hacernos llegar cualquier comentario, cuestión o queja relativa a la utilización que VPE haga de sus datos personales mediante e-mail remitido a la mencionada dirección de correo electrónico” Así pues, el procedimiento articulado por la denunciada para el ejercicio de los derechos ARCO es respetuoso con las previsiones del artículo 24.2 del RLOPD pues concede a los interesados un medio sencillo y gratuito para el ejercicio del derecho de cancelación consistente en el envío de un mensaje electrónico a la dirección ***EMAIL.2. o en una carta a la dirección postal (C/...1). Las solicitudes de cancelación que la denunciante hizo el 13/10/2013 y 31/10/2013 no se adecuaron al procedimiento que VOYAGE tiene establecido para el ejercicio de este derecho, en cumplimiento del artículo 24.2 del RLOPD, pues los correos electrónicos se remitieron al servicio de Atención al socio (***EMAIL.1) y no a ***EMAIL.2. Llegados a este punto es importante subrayar que no se prevé en las Condiciones Generales del servicio de VOYAGE, punto 15, “Datos de carácter personal”, que los usuarios –de conformidad con en el artículo 24.4 del RLOPD- puedan ejercitar un derecho ARCO, además de por el medio específicamente destinado a ello, a través de los servicios que pudieran existir para la atención de los usuarios o para el ejercicio de reclamaciones en relación con los servicios que reciben. Precisión importante pues los correos electrónicos que la denunciante dirigió a VOYAGE solicitando la cancelación de sus datos personales (en fechas 13/10/2013 y 31/10/2013) se habían enviado al servicio de Atención al socio (***EMAIL.1) Por otra parte, del artículo 24.5 en relación con el artículo 25.2 del RLOPD resulta que si el interesado no utiliza el procedimiento establecido específicamente para el ejercicio C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 de los derechos ARCO –como aquí ha sucedido-, pero se vale para ello de un medio que le permita acreditar el envío y la recepción de su solicitud y, además, cumple las condiciones del artículo 25.1 del RLOPD, el responsable del fichero estará obligado a atender su petición con una salvedad: que deberá instarle a subsanar la solicitud si ésta no cumple los requisitos del apartado 1 del artículo 25 del RLOPD. IV La documentación que obra en el expediente pone de manifiesto que la denunciante no ejercitó el derecho de cancelación de sus datos personales a través del procedimiento establecido para ello por la denunciada y que remitió a una dirección electrónica que VOYAGE destina a la Atención al socio (***EMAIL.1) su solicitud de cancelación de datos mediante dos mail, de fechas 13/0/2013 y 31/10/2013 sin que tengamos constancia de la recepción de este último por la denunciada. Si bien es cierto que VOYAGE debió haber respondido a la petición de cancelación que la denunciante le envió a través del mail de 13/10/2013 instándole a subsanar las deficiencias de que adolecía –omisión de los requisitos descritos en el artículo 25.1 del RLOPD-, también lo es que por el contenido de su respuesta -en la que VOYAGE le informa cómo gestionar la baja de las comunicaciones comerciales- pudo existir una confusión sobre los términos de la petición formulada. Añadir a lo expuesto que el mecanismo que contempla la LOPD para el caso en que se deniegue total o parcialmente el ejercicio de un derecho ARCO es la Tutela de derechos regulada en el artículo 18 de la Ley Orgánica 15/1999. Ahora bien, es relevante a los efectos que nos ocupan que el derecho de cancelación de los datos de la denunciante haya sido finalmente atendido por la denunciada el 25/062015, como informó la representación legal de VOYAGE PRIVÉ, S.L. a la AEPD en respuesta al requerimiento informativo de la Inspección. En conexión con ello hay que indicar que la LOPD no recoge en los tipos sancionadores descritos en el artículo 44 (apartados 2,3 y 4) como conducta infractora la mera tardanza en atender el ejercicio de un derecho ARCO. De forma que el retraso en responder a la cancelación solicitada, por sí solo, no constituye una infracción de la LOPD. Por tanto, a tenor de las circunstancias que concurren en el asunto que nos ocupa, procede acordar el archivo de las actuaciones de investigación practicadas. Finalmente, indicar que no obran en el expediente elementos de los que se desprendan indicios de una posible infracción de la Ley 34/2002, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI) toda vez que la denunciante no ha informado a la AEPD de que hubiera recibido alguna comunicación comercial de VOYAGE con posterioridad al 13/10/2013.>> III En el presente recurso de reposición, la recurrente no ha aportado nuevos hechos o argumentos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 PRIMERO: DESESTIMAR el recurso de reposición interpuesto por A.A.A. contra la resolución de esta Agencia dictada con fecha 17 de noviembre de 2015, en el expediente de actuaciones previas de inspección E/00843/2015. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es