1/4 Procedimiento nº: E/06410/2012 ASUNTO: Recurso de Reposición Nº RR/00798/2013 Examinado el recurso de reposición interpuesto por don A.A.A. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/06410/2012, y en base a los siguientes HECHOS PRIMERO: En fecha 13 de septiembre de 2012 tuvo entrada en esta Agencia un escrito de don A.A.A. en el que expone que en el mes de agosto de 2011 se dio de alta en el sitio web www.xploraclick.com en su versión de “editor” y que poco después observó que los datos de facturación que figuraban asociados a su cuenta (seriesyonkis) no eran los suyos sino los de un tercero, que figuraba como emisor de diversas facturas por servicios prestados a la compañía propietaria del sitio web, PÁGINA DE INICIO, S.L., especializada en publicidad online. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. El denunciante ha aportado a la Agencia una copia de un acta notarial, fechada el 14 de junio de 2012, en la que, a solicitud del propio denunciante, en su calidad de administrador de la sociedad BURN MEDIA, S.L., se deja constancia de los datos que figuran en el sitio www.xploraclick.com asociados a la cuenta seriesyonkis, en particular en la pestaña Email marketing, donde se referencia el sitio web www.peliculasyonkis.com, y en la pestaña Facturación, donde se detallan los datos del tercero al que se refiere el denunciante. 2. La compañía denunciada, PÁGINA DE INICIO, S.L., ha declarado a la Agencia que siempre ha tenido asociados al identificador de usuario seriesyonkis los datos del tercero al que se refiere el denunciante, que es quien les ha venido facturando por los servicios de publicidad. PÁGINA DE INICIO, S.L. ha manifestado que actualmente los datos del usuario seriesyonkis no resultan accesibles y han aportado copia impresa de un documento donde figura como “cuenta bloqueada”. TERCERO: En fecha 4 de septiembre de 2013, se dictó resolución por el Director de la Agencia procediéndose al archivo de actuaciones. La resolución fue notificada al denunciante el 9 de septiembre de 2013. CUARTO: En fecha 24 de septiembre de 2013 se atendió la solicitud del denunciante, que había sido registrada en esta Agencia el 19 de septiembre, trasladándole copia íntegra del expediente administrativo. QUINTO: En fecha 8 de octubre de 2013, el denunciante entregó en la Delegación del Gobierno de Murcia un escrito, que ha tenido entrada en esta Agencia en fecha 15 de octubre, por el que presenta recurso de reposición a la resolución del Director. En su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 escrito el recurrente manifiesta que por la Agencia no se le ha facilitado copia de las alegaciones realizadas por el denunciado. Asimismo expone que su denuncia no se refería a un uso indebido de sus propios datos, sino a una supuesta vulneración del deber de guardar secreto por parte del denunciado respecto de los datos del tercero a los que se refería en su escrito inicial. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En primer lugar, por lo que respecta al documento de alegaciones del denunciado, al que se refiere el recurrente, es preciso aclarar que una copia del mismo (de 3 páginas) le fue trasladada en fecha 24 de septiembre de 2013, con referencia de registro de entrada 123017/2013, siendo la primera página del documento una copia, remitida por el propio denunciado, del requerimiento de la Inspección de Datos al que precisamente daba contestación, circunstancia esta que ha podido ocasionar un error de interpretación por el recurrente. Se reproducen a continuación los fundamentos jurídicos en que se basa la resolución recurrida. La LOPD establece, en el artículo 2.1, su ámbito de aplicación: “los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”. Es en el artículo 3.
- a)de la LOPD donde se define dato personal: “Cualquier información concerniente a personas físicas identificadas o identificables”. El artículo 5.1.
- o)del Real Decreto 1720/2007, por el que se aprueba el Reglamento de Desarrollo de la LOPD, define como persona identificable a “toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados”. El citado Reglamento desarrolla, en el artículo 2, el ámbito objetivo de aplicación de la LOPD, estableciendo que no será de aplicación en los siguientes casos: “A las personas jurídicas, ni a los ficheros que se limiten a incorporar los datos de las personas físicas que presten sus servicios en aquéllas, consistentes únicamente en su nombre y apellidos, las funciones o puestos desempeñados, así como la dirección postal o electrónica, teléfono y número de fax profesionales”. El apartado 3 del mismo artículo señala: “Asimismo, los datos relativos a empresarios individuales, cuando hagan referencia a ellos en su calidad de comerciantes, industriales o navieros, también se entenderán excluidos del régimen de aplicación de la protección de datos de carácter personal”. En consecuencia, los artículos antes citados excluyen del ámbito de protección de la LOPD, en particular, los datos referidos a personas físicas que no puedan ser C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 identificadas, a personas jurídicas y a empresarios individuales, cuando en este último caso los datos hagan referencia a ellos exclusivamente en su calidad de comerciantes, industriales o navieros. Según se argumentaba en la resolución recurrida, a partir de las actuaciones practicadas por la Inspección de Datos en el presente caso, no se había obtenido constancia del tratamiento de datos de carácter personal del denunciante por parte de la compañía denunciada, al margen de la actividad inherente a los vínculos comerciales establecidos entre ambas partes, a través de la sociedad BURN MEDIA, S.L., que administra el recurrente, según se desprendía de la documentación notarial que acompañaba a la denuncia. Estos vínculos resultan nuevamente acreditados a partir de la documentación que aporta ahora el recurrente, consistente en varias facturas giradas por BURN MEDIA, S.L. a la compañía denunciada, fechadas en los meses de febrero, mayo y junio de 2012. En la resolución recurrida se argumentaba, por otra parte, que el recurrente no había aportado a la Agencia ningún tipo de documentación que acreditara un uso indebido de sus datos de carácter personal, concluyéndose que el hecho jurídico denunciado no se encontraba dentro del ámbito de aplicación de la LOPD, careciendo esta Agencia, por lo tanto, de competencia para conocer sobre el asunto planteado, que debiera, en su caso, ser planteado en otras instancias administrativas o jurisdiccionales. Por lo que respecta a los datos del tercero a los que se refiere el recurrente, esta Agencia no dispone tampoco de ningún documento que permita suponer que los datos que aparecían en el acta notarial vinculados a la cuenta seriesyonkis no se refieran, tal y como ha declarado PÁGINA DE INICIO, S.L., a un proveedor de servicios de esta compañía, cuyos datos de contacto, al igual que los de BURN MEDIA, S.L., estarían en tal caso excluidos del régimen previsto en la LOPD. Respecto de la vulneración del deber de secreto en supuestos similares al expuesto por el recurrente, conviene tener asimismo en consideración el criterio mantenido por la Audiencia Nacional en Sentencia de 14 de diciembre de 2006, donde se exponía: “Pues bien, la aplicación de la citada Doctrina (de la necesaria culpabilidad para el ejercicio de la potestad sancionadora) al específico y singular caso enjuiciado en este procedimiento ha llevado a esta Sala a concluir que en la referida conducta de la actora reseñada en los hechos probados de la resolución originaria impugnada no concurre el citado elemento de culpabilidad a la hora de determinar si la misma ha incurrido en una falta del deber de secreto del artículo 10 de la Ley Orgánica 15/1999 que se le imputa, pues así se ha de entender cuando dicha recurrente incurre en el mero error de enviar al domicilio de un cliente el contrato suscrito con otro cliente, sin que se aprecie culpa, incluso en ese grado mínimo previsto en la referida Ley 30/1992, en lo que se refiere al dato esencial de revelar a un tercero los datos personales que la misma trata en sus ficheros de ese cliente titular de dicho contrato que ni siquiera fue quien la denunció, sino aquel otro, y, como arriba se ha expuesto, por otras razones. En consecuencia, no se aprecia falta de diligencia en la recurrente en lo que respecta a la conducta imputada de incumplimiento del deber de secreto, dado que sólo incurrió en ese error de enviar el contrato de un cliente a un domicilio que no era el suyo”. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por A.A.A. contra la resolución de esta Agencia dictada con fecha 4 de septiembre de 2013, en el expediente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 de actuaciones previas de inspección E/06410/2012. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es