REPOSICION-E-06943-2015

1/4 Procedimiento nº.: E/06943/2015 ASUNTO: Recurso de Reposición Nº RR/00593/2016 Examinado el recurso de reposición interpuesto por Don A.A.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/06943/2015, y en base a los siguientes HECHOS PRIMERO: Con fecha 20 de julio de 2016, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/06943/2015, procediéndose al archivo de actuaciones. Dicha resolución, que fue notificada al recurrente en fecha 25 de julio de 2016, según aviso de recibo que figura en el expediente. SEGUNDO: Don A.A.A. ha presentado en el Registro General de la Xunta de Galicia el día 19 de agosto de 2016, con registro de entrada en esta Agencia, en fecha 25 de agosto de 2016, recurso de reposición, fundamentándolo básicamente en que las expresiones “periodo razonable” o “se considera necesario” son vagas e indefinibles. Se pregunta cuál es el período razonable para bloquear los datos y luego cancelarlos, porque en su caso los tuvieron cuatro años. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En la resolución ahora recurrida se fundamentaba lo siguiente: <<El artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. En el presente caso, consta acreditado el denunciante se hizo socio de la piscina Municipal gestionada por Serviocio, en el año 2009, abonando 36 recibos. En la Hoja de Inscripción fue informado que sus datos se incluían en un fichero de la mencionada sociedad, con las finalidades de enviar comunicaciones comerciales y promocionales. En el mes de mayo de 2015, Serviocio remitió una carta a todas las personas que eran o habían sido socias para que se actualizasen sus datos y pudiesen informarles de manera personalizada de los servicios y bienes que ofrecían. Por consiguiente, la entidad denunciada había obtenido los datos personales tratados para el envío de la carta del propio denunciante, quien hasta ese momento no había solicitado la cancelación de los mismos. III Por otra parte, el artículo 4.5 de la LOPD precisa que “Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados”. En el presente caso, los datos del denunciante fueron aportados por éste a la entidad denunciada, con la finalidad de acudir a la piscina municipal. En ningún momento el denunciante solicitó la cancelación de los datos con anterioridad a la recepción de la carta en la que informaban de la actualización de los datos de todos los socios. No consta que los datos del denunciante fuesen utilizados desde el momento en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 que dejo de asistir a la piscina (abonando la cuota establecida). Se considera necesario que Serviocio procediese al bloqueo y posterior cancelación de los datos de sus socios transcurrido un periodo razonable de tiempo desde que ha cesado la relación contractual entre ambas partes, aunque el cliente no solicitase la cancelación de los mismos. Por tanto, debe señalase que no consta comportamiento infractor de la LOPD en el presente caso.>> III Efectivamente, hay conceptos jurídicos que no son determinados. Así el artículo 4.5 de la LOPD indica: “5. Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados. No serán conservados en forma que permita la identificación del interesado durante un período superior al necesario para los fines en base a los cuales hubieran sido recabados o registrados. Reglamentariamente se determinará el procedimiento por el que, por excepción, atendidos los valores históricos, estadísticos o científicos de acuerdo con la legislación específica, se decida el mantenimiento íntegro de determinados datos. En el supuesto denunciado y que fue archivado, se mantuvieron los datos durante cuatro años y se utilizaron para comunicarle que están haciendo una regularización de los datos y para ofrecerle la red de centros deportivos. Se hizo un tratamiento similar al que motivo la recogida de datos, dándole la opción de cancelarlos. Por tanto, dado que, en el presente recurso de reposición, no se han aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, procede acordar su desestimación Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Don A.A.A. contra la resolución de esta Agencia dictada con fecha 20 de julio de 2016, en el expediente de actuaciones previas de inspección E/06943/2015. SEGUNDO: NOTIFICAR la presente resolución a Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es