1/8 Procedimiento nº.: E/04964/2017 ASUNTO: Recurso de Reposición Nº RR/00056/2018 Examinado el recurso de reposición interpuesto por Don A.A.A., contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/04964/2017, y en base a los siguientes HECHOS PRIMERO: Con fecha 11 de enero de 2018, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/04964/2017, procediéndose al archivo de actuaciones. Dicha resolución, que fue notificada al recurrente en fecha 16 de enero de 2018, según aviso de recibo que figura en el expediente. SEGUNDO: Don A.A.A. ha presentado en esta Agencia, en fecha 24 de enero de 2018, recurso de reposición, fundamentándolo básicamente en que en la Resolución de archivo se hace referencia a dos hojas de control diferentes, una es la que aparece en la página web del Ayuntamiento de Valencia (en la que no se incluye la petición de rúbrica) y otra es la aportada por el mismo Ayuntamiento tras el requerimiento de la Agencia Española de Protección de Datos, en la que si se incluye la rúbrica. Asimismo hay divergencias en el texto de la información facilitada a los encuestados. Si en otra denuncia similar se sancionó al Ayuntamiento de Valencia por tratamiento de datos sensibles y se recomendaba que en el contrato de prestación de servicios se recogiera la obligación de informar y solicitar el consentimiento por escrito si se recogían datos personales referidos a ideología, en esta denuncia no se recogía dicha previsión y no se sanciona por ello. Solicita que se revoque la resolución archivando las actuaciones. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II La Resolución ahora recurrida se fundamentó en lo siguiente: << El día 10 de febrero de 2017, el Ayuntamiento de Valencia formalizó un contrato de prestación de servicios de realización de un estudio Piloto para desarrollar un futuro Barómetro de Opinión Pública en la ciudad de Valencia con la mercantil C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 Sonmerca Valencia, S.L. en este contrato se indica que Sonmerca realizara la encuesta según el contrato aprobado por el Ayuntamiento. El artículo 12 de la LOPD “acceso a datos por cuenta de terceros”, establece lo siguiente: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto de tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”. El citado artículo 12.1 de la LOPD permite que el responsable del fichero habilite el acceso a datos de carácter personal por parte de la entidad que va a prestarle un servicio –encargado del tratamiento- sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión de datos. La LOPD exige que el acceso a datos por cuenta de terceros figure reflejado en un contrato por escrito o en alguna otra forma que permita acreditar su celebración y contenido, y prevé unos contenidos mínimos, tales como seguir las instrucciones del responsable del tratamiento, no utilizar los datos para un fin distinto, no comunicarlos a otras personas, estipular las medidas de seguridad del artículo 9 y, cumplida la prestación, destruir los datos o proceder a su devolución al responsable del tratamiento. En el artículo 12 mencionado, se indica que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento. Esto es, el encargado del tratamiento (en este caso, SONMERCA) recoge y trata datos personales como si lo hiciese del responsable del tratamiento (en este caso, el Ayuntamiento de Valencia) puesto que es éste el que ha fijado el contenido, uso y finalidad de dicho tratamiento, aunque no llegue a conocer los datos personales recogidos por el encargado. En el supuesto denunciado, antes de la realización de la encuesta, el encuestador informaba a la persona encuestada del motivo de la encuesta: que estaban colaborando con el Ayuntamiento de Valencia para elaborar un barómetro municipal de opinión ciudadana. Tras la realización de las preguntas, se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 cumplimentaba la hoja de control de campo, en el que se recogía: nombre, teléfono, dirección y el nombre del entrevistador. Y constaba la leyenda informativa siguiente: “D’acord amb les disposicions establides en la LO 15/1999, de Protecció de Dades de Caràcter Personal, les dades arreplegades en este document NO seran incorporades a ningú fitxer, únicamente eran tractades de forma temporal per SONMERCA VALENCIA, SL, per a fer el estudi estadístic informat. Simplement ens posarem en contacte amb vosté pera comprovar que li ha sigut realitzada una enquesta, de manera que vosté podrà exercitar els drets d’accés, rectificació, cancel·lació o oposició mitjançant sol·licitud per escrit en l’adreçaav. del Baró de Càrcer, 34-4-7é - 46001 València, a la qual haurà d’adjuntar una còpia del DNI. Així mateix, SONMERCA VALENCIA, SL, ha adoptat les mesures de seguretat previstes en el RD 1720/2007, de manera que es garanteix el secret i la confidencialitat de les dades facilitats. Signat” El Ayuntamiento de Valencia, como responsable del tratamiento, debe recoger en el contrato que previamente a la recogida de datos, el encargado del tratamiento facilitase la información que establece el artículo 5 de la LOPD y obtuviese el consentimiento por escrito, tras indicar a los encuestados que sus datos personales se recogían para la verificación de las encuestas y que estaban ligados a las respuestas facilitadas, hasta el momento en que se finalizase la verificación, momento en que se destruiría el fichero que contenía los datos identificativos y las encuestas serían anónimas; así se recoge de forma específica en el Código Internacional ICC/ESOMAR. Por tanto, independientemente de quien recabó y trató los datos contenidos en la encuesta, que durante un período de tiempo estaban ligados a datos personales, el responsable del tratamiento de datos especialmente protegidos es el Ayuntamiento de Valencia, ya que Sonmerca trabajaba por cuenta y en nombre de dicha entidad. En el sentido señalado, la Audiencia Nacional en su sentencia de 14-3-2007 recuerda que “Es tal responsable del fichero a quien corresponde asegurarse que aquel a quien se solicita consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de estos datos personales, deben conservar la prueba del cumplimiento de la obligación a disposición de la Administración encargada de velar por el cumplimiento de la Ley”. En la realización de la prueba piloto para desarrollar el barómetro de opinión pública en la ciudad de Valencia, realizada entre el 22 de febrero y 8 de marzo de 2017, si bien en el contrato de prestación de servicios no se incluyó esta obligación de informar y solicitar el consentimiento conforme exige la LOPD, SONMERCA si informó y solicitó el consentimiento por escrito para el tratamiento de sus datos con unas finalidades concretas. IV En orden a precisar el alcance de los referidos hechos, procede analizar, en primer lugar, si la información recabada conforme a lo descrito en los antecedentes y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 fundamentos de derecho incluye datos de carácter personal. La LOPD viene a regular el derecho fundamental a la protección de datos de las personas físicas, esto es, el derecho a disponer de sus propios datos sin que puedan ser utilizados, tratados o cedidos sin su consentimiento, con la salvedad de las excepciones legalmente previstas. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala que “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”. Por ello resulta preciso determinar que ha de entenderse por dato de carácter personal y tratamiento de datos. El artículo 3.
- a)de la LOPD define el concepto de dato de carácter personal como “cualquier información concerniente a personas físicas identificadas o identificables”. Y el apartado 1.
- f)del artículo 5 del Real Decreto 1720/2007, de 21 de diciembre (RLOPD), por el que se aprueba el Reglamento de desarrollo de la LOPD, define dato de carácter personal como “cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables”. De ello se desprende que el concepto de dato personal, según la definición de la LOPD, requiere la concurrencia de un doble elemento: por una parte, la existencia de una información o dato y, por otra, que dicho dato pueda vincularse a una persona física identificada o identificable. La definición de persona identificable aparece en la letra
- o)del citado artículo 5.1 del RLOPD, que considera como tal “toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados”. En este caso, resulta determinante considerar la forma de llevar a cabo la recogida de información expuesta, que se registra en dos ficheros en papel distintos pero con un identificador que es el mismo en ambos ficheros, y que la misma se almacena según un sistema estructurado que permite su localización. Dicha información puede asociarse a personas físicas identificadas. Por tanto, atendiendo a la definición contenida en las normas citadas, la información recabada se ajusta a dicho concepto, al tratarse de información concerniente a personas físicas identificadas, ya que los datos almacenados, se recogieron conteniendo la identificación de los encuestados mediante un mismo código en el fichero de respuestas y en el fichero de datos personales; al menos hasta que se efectuaron las validaciones y se destruyó el fichero de datos personales. En conclusión, se han tratado datos personales y son plenamente aplicables los principios y garantías expuestas en la normativa de protección de datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 V El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo), “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporciona a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El artículo 7 de la LOPD establece el régimen específicamente protector diseñado por el Legislador para aquellos datos personales que proporcionan una información de esferas más íntimas del individuo, a los que etiqueta bajo la denominación común de “Datos especialmente protegidos”. Para las diversas categorías de éstos el precepto citado establece específicas medidas para su protección. En el supuesto específico de los datos de ideología y religión, se consideran como especialmente protegidos y prevé que sólo puedan ser tratados cuando el afectado consienta expresamente y por escrito, debiendo advertirse al interesado acerca de su derecho a no prestar el consentimiento. El artículo 7 “Datos especialmente protegidos” de la LOPD, en sus apartados 1 y 2, establece lo siguiente: “1. De acuerdo con lo establecido en el apartado 2 del artículo 16 de la Constitución, nadie podrá ser obligado a declarar sobre su ideología, religión o creencias. Cuando en relación con estos datos se proceda a recabar el consentimiento a que se refiere el apartado siguiente, se advertirá al interesado acerca de su derecho a no prestarlo. 2. Sólo con el consentimiento expreso y por escrito del afectado podrán ser objeto de tratamiento los datos de carácter personal que revelen la ideología, afiliación sindical, religión y creencias. Se exceptúan los ficheros mantenidos por los partidos políticos, sindicatos, iglesias, confesiones o comunidades religiosas y asociaciones, fundaciones y otras entidades sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, en cuanto a los datos relativos a sus asociados o miembros, sin perjuicio de que la cesión de dichos datos precisará siempre el previo consentimiento del afectado”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 Han de considerarse los elementos que integran la definición de consentimiento recogida en el artículo 3.
- h)de la LOPD; a saber, que sea una manifestación de voluntad libre, inequívoca, específica e informada. En resumen, se exige un consentimiento expreso que conste por escrito para el tratamiento de los datos de ideología y religión, debiendo acreditarse que se trata de una manifestación de voluntad libre, inequívoca y específica, que se presta una vez que se ha tenido conocimiento de una concreta información (artículo 5 de la LOPD). Lógicamente, la concurrencia de los extremos expuestos deberá constatarse en cada caso concreto. En este caso, considerando los objetivos del Barómetro, que ha sido aportado por el Ayuntamiento se recogerá, entre otras cuestiones: Valoración de la situación política/gestión municipal Autoubicación ideológica Recuerdo de voto… Se deriva un tratamiento de datos de ideología de las personas que cumplimentaron la encuesta, ya que las personas registradas en el fichero pueden aparecer como defensores de una determinada opción ideológica y religiosa, al menos mientras no se destruyó el fichero con datos personales. La información facilitada por el encuestado inevitablemente deberá calificarse como de naturaleza ideológica, por cuanto refleja el modo en que éste entiende y valora el sistema social en el que está integrado. El término “ideología” recogido en el artículo 7.2 de la LOPD se encuentra directa e inmediatamente vinculado a lo dispuesto en el artículo 7.1 de la misma que, como ya se ha indicado, remite a su vez al artículo 16.2 de la Constitución, en cuya virtud “Nadie podrá ser obligado a declarar sobre su ideología, religión o creencias”. Las comprobaciones realizadas por los Servicios de Inspección de la AEPD han constatado la existencia de formularios en los que se recabaron datos personales de los encuestados; si bien consta el consentimiento de aquéllos para la aceptación del tratamiento de los datos y su firma, garantizando con ello el adecuado respeto a lo dispuesto en la LOPD. La encuesta se realizaba y una vez finalizadas todas las preguntas se procedía a cumplimentar la hoja de control de campo, informando al interesado mediante la lectura de la cláusula de protección de datos que figuraba en la dicha hoja de control. Asimismo, se le mencionaba al encuestado que toda la información recogida en el cuestionario cumplía lo dispuesto en la LOPD, explicando que los datos personales que se pedían se utilizaban solo para verificar el trabajo del entrevistador y garantizar la calidad del mismo, y que una vez realizado el control de calidad se destruían, quedando solo el cuestionario sin poder asociarlo a ningún sujeto en concreto. Esto es, una vez supervisado el contenido de la encuesta, se disociaba la hoja de control y se custodiaba bajo llave de forma independiente del contenido de la encuesta hasta la finalización de su estudio. Acabado el estudio, todas las hojas de control se destruyeron mediante destructoras de papel. En ningún caso se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 informatizaron los datos de las hojas de control, ni se facilitaron al Ayuntamiento. A pesar de existir divergencias sobre la información facilitada a los encuestados, referidas a si los datos se incluyen en un fichero o son objeto de tratamiento sin incluir en fichero y la referencia al Real Decreto de desarrollo aplicable, en ambos casos se informa suficientemente al encuestado sobre el tratamiento de sus datos personales y la finalidad de éste.>> III Por lo tanto, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. En el caso en que se ha sancionado al Ayuntamiento de Valencia se le recomienda que recoja la obligación de información en los contratos de prestación de servicios que firme con entidades que hagan encuestas; en las actuaciones previas archivadas no se indica ya que, a pesar de no haberse recogido la obligación en el contrato de prestación de servicios, se cumplió con dicha obligación. En cuanto a las pequeñas variaciones entre las dos cláusulas informativas recogidas en las actuaciones previas, las mismas no tienen relevancia en los hechos denunciados; lo fundamental es que se informe a las personas que contestan encuestas en las que se recogen datos de ideología de que durante un tiempo van a estar unidas las contestaciones y los datos personales con la finalidad de validar la encuesta y que consientan en ello. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Don A.A.A., contra la resolución de esta Agencia dictada con fecha 11 de enero de 2018, en el expediente de actuaciones previas de inspección E/04964/2017. SEGUNDO: NOTIFICAR la presente resolución a Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es