1/7 Procedimiento nº.: E/01679/2014 ASUNTO: Recurso de Reposición Nº RR/00745/2014 Examinado el recurso de reposición interpuesto por la ASOCIACIÓN DE CONSUMIDORES Y USUARIOS EN ACCIÓN-FACUA contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/01679/2014 y en consideración a los siguientes HECHOS PRIMERO: Con fecha 29 de septiembre de 2014 se dictó resolución por el Director de la Agencia Española de Protección de Datos (AEPD) en el expediente de actuaciones previas de inspección E/01679/2014 acordando su archivo al haber constatado que con fecha 22 de abril de 2014 la entidad denunciada había inscrito el fichero “Bocata Sano” en el Registro General de Protección de Datos. Dicha resolución fue notificada a la recurrente en fecha 3 de octubre de 2014 como lo acredita el acuse de recibo que obra en el expediente. SEGUNDO: La ASOCIACIÓN DE CONSUMIDORES Y USUARIOS EN ACCIÓN-FACUA (en lo sucesivo, la recurrente) ha presentado en esta Agencia, en fecha 9 de octubre de 2014, recurso de reposición. La recurrente invoca el artículo 126 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007 (RLOPD) y argumenta que la AEPD está obligada a dictar acuerdo de inicio de expediente sancionador en los supuestos como el que nos ocupa, en el que “se observan indicios que motiven la imputación de una infracción”. A tal efecto advierte que no estamos ante una potestad discrecional de la Administración sino ante un acto reglado y en ese sentido cita las Sentencias del Tribunal Supremo, Sala de lo Contencioso-Administrativo, de 13/03/21992 y 22/05/2002. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II La recurrente invoca como fundamento del recurso la existencia de indicios de infracción de la normativa de protección de datos -habida cuenta de que, pese a que finalmente CENTROS COMERCIALES CARREFOUR, S.A.,(CARREFOUR) inscribió el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 fichero “Bocata Sano”, “ha habido un largo intervalo de tiempo en el que se han estado recabando datos de menores (…) sin contar con la preceptiva inscripción de un fichero” - y la disposición del artículo 126 del RLOPD. Entiende que este precepto impone al Director de la AEPD la obligación de dictar acuerdo de inicio de expediente sancionador si hay indicios de infracción de la normativa de protección de datos. El precepto citado establece: “1 .Finalizadas las actuaciones previas, éstas se someterán a la decisión del Director de la Agencia Española de Protección de Datos. Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso. 2. En caso de apreciarse la existencia de indicios susceptibles de motivar la imputación de una infracción, el Director de la Agencia Española de Protección de Datos dictará acuerdo de inicio de procedimiento sancionador o de infracción de las Administraciones públicas, que se tramitarán conforme a lo dispuesto, respectivamente, en las secciones tercera y cuarta del presente capítulo.” III La LOPD dispone en su artículo 26, “Notificación e inscripción registral”: “1. Toda persona o entidad que proceda a la creación de ficheros de datos de carácter personal lo notificará previamente a la Agencia de Protección de Datos. 2. Por vía reglamentaria se procederá a la regulación detallada de los distintos extremos que debe contener la notificación, entre los cuales figurarán necesariamente el responsable del fichero, la finalidad del mismo, su ubicación, el tipo de datos de carácter personal que contiene, las medidas de seguridad, con indicación del nivel básico, medio o alto exigible y las cesiones de datos de carácter personal que se prevean realizar y, en su caso, las transferencias de datos que se prevean a países terceros. 3. Deberán comunicarse a la Agencia de Protección de Datos los cambios que se produzcan en la finalidad del fichero automatizado, en su responsable y en la dirección de su ubicación.(..)” La Ley Orgánica 15/1999 tipifica en su artículo 44.2, como infracción leve, el incumplimiento de la obligación impuesta por el artículo 26.1. en los siguientes términos: “Son infracciones leves: (…)
- b)No solicitar la inscripción del fichero de datos de carácter personal en el Registro General de Protección de Datos”. Paralelamente, el Reglamento de Desarrollo de la LOPD (RLOPD), aprobado por el Real Decreto 1720/2007, dedica el Capítulo II del Título V a regular la “Notificación e inscripción de los ficheros de titularidad pública o privada”, artículos 55 a 64. Dado el interés que tienen en el presente asunto se reproducen las siguientes disposiciones del RLOPD: -Artículo 55.2: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 “Los ficheros de datos de carácter personal de titularidad privada serán notificados a la Agencia Española de Protección de Datos por la persona o entidad privada que pretenda crearlos, con carácter previo a su creación. La notificación deberá indicar la identificación del responsable del fichero, la identificación del fichero, sus finalidades y los usos previstos, el sistema de tratamiento empleado en su organización, el colectivo de personas sobre el que se obtienen los datos, el procedimiento y procedencia de los datos, las categorías de datos, el servicio o unidad de acceso, la indicación del nivel de medidas de seguridad básico, medio o alto exigible, y en su caso, la identificación del encargado del tratamiento en donde se encuentre ubicado el fichero y los destinatarios de cesiones y transferencias internacionales de datos. -Artículo 56 “Tratamiento de datos en distintos soportes”: “1. La notificación de un fichero de datos de carácter personal es independiente del sistema de tratamiento empleado en su organización y del soporte o soportes empleados para el tratamiento de los datos. 2. Cuando los datos de carácter personal objeto de un tratamiento estén almacenados en diferentes soportes, automatizados y no automatizados o exista una copia en soporte no automatizado de un fichero automatizado sólo será precisa una sola notificación, referida a dicho fichero.” -Artículo 58: “Notificación de la modificación o supresión de ficheros”: “1. La inscripción del fichero deberá encontrarse actualizada en todo momento. Cualquier modificación que afecte al contenido de la inscripción de un fichero deberá ser previamente notificada a la Agencia Española de Protección de Datos o a las autoridades de control autonómicas competentes, a fin de proceder a su inscripción en el registro correspondiente, conforme a lo dispuesto en el artículo 55. 2. Cuando el responsable del fichero decida su supresión, deberá notificarla a efectos de que se proceda a la cancelación de la inscripción en el registro correspondiente. (…)” A la luz de las disposiciones citadas cabe concluir que la obligación de notificación previa a la AEPD impuesta por el artículo 26 de la LOPD –cuyo incumplimiento aparece tipificado como infracción leve en el artículo 44.2.b)- se refiere únicamente a la “creación” de un fichero. Así, la LOPD no tipifica como infracción no comunicar al Registro General de Protección de Datos (RGPD) las modificaciones que afecten al contenido de un fichero inscrito. De modo que, conforme al tenor literal de esos preceptos y habida cuenta del carácter restrictivo de la interpretación de las normas sancionadoras, el tipo sancionador del artículo 44.2.
- b)de la LOPD abarca, únicamente, el incumplimiento de la obligación de notificar al RGPD la “creación” de un fichero. Ese régimen –propio de los ficheros de titularidad privada- cambia cuando se trata de ficheros de titularidad pública, respecto a los cuales el artículo 20 de la LOPD alude tanto a la creación como a la modificación o la supresión de ficheros y exige que se haga por medio de una disposición general publicada en el correspondiente Diario oficial. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 IV Por lo que respecta a la obligación de inscribir la creación de ficheros la Audiencia Nacional se ha pronunciado en el sentido de considerar que no es necesario comunicar RGPD la inscripción de un nuevo fichero cuando éste tenga cabida en otro fichero ya inscrito. Todo ello sin perjuicio de las modificaciones que deban efectuarse en el fichero inscrito con el fin de adaptarlo a la nueva estructura y de que tales modificaciones, a su vez, sean notificadas al RGPD. Muy esclarecedora es, en ese sentido, la Sentencia de la Audiencia Nacional, Sala de lo Contencioso Administrativo, de 04/03/2010 (Rec. 234/2008) en la que el Tribunal estimó el recurso contencioso administrativo interpuesto contra una resolución de la AEPD que había sancionado a la actora ( la Autoridad Portuaria de Baleares, APB) por una presunta infracción del artículo 20.1 de la LOPD tipificada como infracción grave en el artículo 44.3.
- a)– falta de inscripción de ficheros de titularidad pública-, anuló la resolución y dejó sin efecto la sanción impuesta. Los hechos en los que se fundó la resolución sancionadora dictada por la AEPD fueron que si bien la APB tenía inscrito un fichero en el RGPD, denominado NFBÁSICO, creado en 1994 y que tenía como finalidad la “gestión de personal”, esa entidad había puesto en funcionamiento un sistema de control de presencia de sus trabajadores que implicaba la recogida de datos biométricos, habiéndose iniciado tal recogida sin la creación de un nuevo fichero con arreglo a las previsiones del artículo 20 de la LOPD, ya que esos datos concretos no se encontraban incluidos en el fichero NFBÁSICO. El sistema de control de los trabajadores que llevó a la recogida de datos biométricos consistía en que éstos debían introducir los dedos índice y corazón en un terminal de marcaje, procediéndose a una comparación entre el patrón de sus datos, previamente extraído y registrado, y los datos biométricos asociados a su código de identificación. Como detallaba la SAN “El sistema está basado en la lectura biométrica tridimensional de la geometría de los dedos índice y corazón de cualquiera de las manos, y guarda la imagen geométrica de los dedos, como patrón de datos, que se actualiza después de cada operación”. La APB adujo en defensa de su pretensión que se anulara la resolución sancionadora de la AEPD que “el fichero generado a tales efectos, no es más que una medida de “vigilancia y control para verificar el cumplimiento por los trabajadores de sus obligaciones y deberes laborales”, y por tanto “una medida más de gestión de personal”. Consideró que “tanto el tipo de datos generados por la actividad de presencia horaria implantada en septiembre de 2005, datos de carácter identificativo y de localización de los trabajadores, como la finalidad de su tratamiento (gestión de personal)se hallan declarados desde 1994 ante el Registro General de Protección de Datos (RGPD) mediante el fichero NFBÁSICO, y que el citado fichero (…) reúne todas las características para garantizar el cumplimiento y la salvaguardia de la inscripción del fichero de acuerdo con el artículo 20 LOPD”. (El subrayado es de la AEPD) La Audiencia Nacional, tras manifestar en la Sentencia precitada que había quedado acreditado que la APB era responsable del fichero NFBÁSICO cuya “finalidad” era la “gestión de personal” afirmó: “…cuando la APB inició la recogida de los datos biométricos en cuestión, contaba con un fichero, debidamente creado y registrado, en el que si bien no se recogía la finalidad de control horario sí figuraban los datos identificativos y de localización, con la finalidad de gestión de personal”. (El subrayado es de la AEPD) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 Y concluye diciendo que “De todo lo cual se desprende que aunque resultaba conveniente actualizar el fichero NFBÁSICO, como así se hizo, para recoger expresamente que entre sus finalidades se encontraba la de controlo horario mediante la captación de datos biométricos, existe cobertura, como vino a reconocer la AEPD en el precedente citado al acordar el archivo de las actuaciones …”. La SAN 04/03/2010, a propósito del “precedente” (una resolución de la AEPD que acordó el archivo de las actuaciones) dice: “… la parte actora ha aportado (…) una resolución de archivo de actuaciones recaída en un escrito de una Central Sindical que denunciaba al citado Ayuntamiento por la implantación de un sistema de control de presencia a través de la captura de la huella dactilar, que no había sido aprobado por la correspondiente disposición de carácter general. El citado Ayuntamiento tenía inscrito un fichero denominado “Datos personales de los trabajadores”, que contiene los datos personales de los trabajadores, siendo su finalidad y uso el de “Gestión de personal”, por lo que la citada resolución considera que no se ha infringido el artículo 20 LOPD, sin perjuicio de que al haber añadido el Ayuntamiento las huellas dactilares que no aparecen contempladas en los citados datos identificativos, deba proceder a la mayor brevedad posible a (…) inscribir la citada modificación en el RGPD”. (El subrayado es de la AEPD) V En el asunto que nos ocupa se ha verificado que entre los ficheros que CARREFOUR tenía inscritos en el RGPD cuando empezó la recogida de los datos de la campaña “Bocata Sano” –campaña iniciada, según parece, en el año 2011- figuraba el denominado “CLIENTES” cuya inscripción en la AEPD data del 03/07/2003. La información que consta en el RGPD en relación con la estructura de este fichero es la siguiente: En el campo “Descripción de la finalidad” indica: “Gestión comercial de las relaciones comerciales con los clientes y envío de información comercial. Gestión de clientes, contable, fiscal y administrativa. Análisis de perfiles. Publicidad y prospección comercial. Fines estadísticos, históricos o científicos. Otras finalidades”. (El subrayado es de la AEPD) En el apartado “Colectivos o categorías de interesados” figura: “Clientes y usuarios”; en el apartado “Tipos de datos, estructura y organización del fichero” consta lo siguiente: como “Datos de carácter identificativo”: “DNI / NIF. Nombre y apellidos. Dirección. Teléfono. Características personales, económicos, financieros y de seguros. Transacciones de bienes y servicios”. Como “Origen y procedencia de los datos” se detalla: “El propio interesado o su representante legal. Clientes y usuarios”. (El subrayado es de la AEPD) Con ocasión de la campaña “Bocata Sano” CARREFOUR recogió datos personales de los menores -fotografías, imágenes y voz- con la finalidad de publicarlos en los medios de comunicación propios, habiendo obtenido de los padres o tutores de los menores la autorización para el tratamiento de sus datos y, en su caso, para ceder los derechos de explotación de las imágenes con carácter mundial, Recordemos a propósito de esta cuestión que en el formulario que los padres de los menores debían cumplimentar para consentir la recogida de sus datos se les informaba que los datos personales facilitados y las fotografías serían incluidos en un fichero de CARREFOUR con la finalidad de “publicarlos en los medios de comunicación propios…”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 Por tanto, la finalidad de los datos que CARREFOUR recabó con ocasión de la campaña “Bocata Sano” estaba prevista entre las que se describen en el fichero CLIENTES, en particular “Publicidad y prospección comercial. Fines (…) científicos. Otras finalidades”. También el origen de los datos obtenidos por CARREFOUR en la campaña “Bocata Sano”, que fueron los representantes legales del menor –padres o tutores- estaba recogido en el fichero CLIENTES Sin embargo, por lo que respecta al tipo de datos, los que CARREFOUR obtuvo con ocasión de la campaña “Bocata Sano” eran imágenes y voz, que no estaban incluidos en el listado de clases o tipos de datos que se relacionan en el fichero CLIENTES. No obstante, de conformidad con la doctrina de la Audiencia Nacional reflejada en la SAN de 04/03/2010 precitada, toda vez que coinciden las finalidades y el origen de los datos recabados por CARREFOUR en la campaña que está en el origen de la denuncia y los descritos en el fichero CLIENTES, debe concluirse que cuando CARREFOUR inició la recogida de los datos de los menores (imágenes y voz) contaba con un fichero debidamente creado y registrado, en el que sí se contemplaba la finalidad perseguida por ese tratamiento de datos y en el que estaba contemplado el origen de tales datos. De tal manera que los datos tratados en el curso de la campaña “Bocata Sano” tenían cobertura en el fichero CLIENTES por lo que no se vulneró el artículo 26 de la LOPD. Todo ello sin perjuicio de que fuera necesario proceder a realizar las pertinentes modificaciones para incluir entre los datos tratados las imágenes y la voz. Llegados a este punto conviene recordar cuáles son los antecedentes de la resolución que se impugna: El archivo de actuaciones recaído en el E/2522/2013, abierto a raíz de la denuncia que FACUA presentó contra CARREFOUR por una presunta infracción del artículo 5 de la LOPD, que en su Fundamento IV dijo lo siguiente: “cabe señalar que en la medida que Carrefour dispone de veinte ficheros inscritos en el Registro de esta Agencia, pero que no hay constancia de que ninguno de ellos se ajuste al tratamiento de las imágenes obtenidas en la realización de la actividad objeto de la denuncia, desde el Registro de la Agencia de Protección de Datos se procederá a remitir los requerimientos oportunos para el caso de que procediera la adaptación o inscripción pertinente” La resolución recurrida se dictó por el Director de la AEPD el 29/09/2014, cuando se tenía constancia de que CARREFOUR había inscrito un nuevo fichero - Bocata Sano- en el RGPD el 20/03/2014 a pesar de que por sus características el fichero CLIENTES, que está inscrito desde el año 2003, daba cobertura a los datos obtenidos con ocasión de la campaña llevada a cabo con los escolares de Málaga, siendo necesario tan solo que se introdujera una modificación en el tipo de datos. CARREFOUR optó, sin embargo, por una opción más garantista, cual es la de inscribir un nuevo fichero con los datos obtenidos en la campaña mencionada. Entendemos que esta actuación no puede traducirse en consecuencias perjudiciales para la entidad denunciada. Si al amparo de lo afirmado por la Audiencia Nacional en la precitada SAN de 04/03/2010, cuando se inició la recogida de los datos existía un fichero inscrito en el que los datos recabados tenían cobertura, no se pudo vulnerar el artículo 26 de la LOPD. Cabe añadir además que, como se indicó en el Fundamento III de esta resolución, la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 falta de modificación de un fichero (tratándose de ficheros de titularidad privada) no es subsumible en el tipo sancionador del artículo 44.2.b. de la LOPD. En atención a las consideraciones expuestas la resolución que se impugna, en la que el Director de la AEPD acordó el archivo de las actuaciones seguidas contra CARREFOUR resulta plenamente ajustada a Derecho. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por la ASOCIACIÓN DE CONSUMIDORES Y USUARIOS EN ACCIÓN-FACUA contra la resolución de esta Agencia dictada con fecha 29 de septiembre de 2014, en el expediente de actuaciones previas de inspección E/01679/2014. SEGUNDO: NOTIFICAR la presente resolución a la ASOCIACIÓN DE CONSUMIDORES Y USUARIOS EN ACCIÓN-FACUA. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es