1/5 Procedimiento nº.: PS/00259/2015 ASUNTO: Recurso de Reposición Nº RR/00952/2015 Examinado el recurso de reposición interpuesto por la entidad A.A.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00259/2015, y en base a los siguientes, HECHOS PRIMERO: Con fecha 6 de noviembre de 2015, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00259/2015, en virtud de la cual se resolvía: (…) ARCHIVAR EL PROCEDIMIENTO la entidad AQUAJEREZ, S.L., por inexistencia de infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
- b)de la LOPD.(….) Dicha resolución, que fue notificada al recurrente en fecha 13 de noviembre de 2015, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00259/2015, quedó constancia de los siguientes: procedimiento sancionador, HECHOS PROBADOS UNO.- Mediante Acuerdo de la Junta del Gobierno Local, de 15/03/2013 AQUAJEREZ resulta adjudicatario del contrato de “Concesión de la gestión del Servicio de Abastecimiento de Agua en Baja, Alcantarillado y Depuración en el término municipal de Jerez de la Frontera” En las clausulas Quinta y Sexta del citado contrato se determina que AQUAJEREZ por un lado, recibirá las tarifas de los servicios objeto de la concesión, y que por otro recaudara el importe derivado de tasa municipal de recogida de tratamientos de sólidos urbanos. Asimismo consta un contrato de Encargo de tratamiento en relación con la prestación del servicio objeto de contratación citado anteriormente. (Folios 248-262) DOS.- En las facturas emitidas como consecuencia de la prestación del servicio del que es concesionario AQUAJEREZ, consta que respecto de los conceptos de Agua, Alcantarillado y depuración, figura AQUAJEREZ como entidad emisora y respecto de concepto Basura, figura como entidad emisora el Ayuntamiento de Jerez. (Folios 657658). TRES.- En el contrato de Suministro de Agua suscrito con los destinatarios usuarios finales del servicio consta la entidad AQUAJEREZ como una de las partes del contrato y la otras al ABONADO, donde figura que ésta prestara al ABONADO (…) los servicios municipales solicitados de abastecimiento domiciliario de agua potable y, en su caso, alcantarillado y tratamiento de aguas residuales,(…)( Folio 659 a 670) CUATRO.- AQUAJEREZ es una entidad participada por Aqualia Gestion Integral del Agua, S.A, quien firmó un contrato de colaboración empresarial de fecha 6/03/2014 con REPARALIA DIRECT, S.L., por el que aquella se obligaba a la cesión de datos personales de aquellas personas sobre las que, formando parte de su fichero de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 “gestión de clientes” hubiera obtenido su consentimiento tácito a tal efecto. (Folio 289). En concreto costa en el Expositivo III: (…)REPARALIA está interesada en poder promover las actividades anteriormente señaladas entre los usuarios del servicio de abastecimiento de agua proporcionado por AQUALIA y por las sociedades participadas por dicha entidad (…) CINCO.- Durante el mes de julio de 2014 los vecinos del Ayuntamiento de Jerez de la Frontera recibieron en sus domicilios una carta remitida por AQUAJEREZ en la que se comunica que si en el plazo de 45 días no se informa lo contrario, los datos personales de los destinatarios de la carta serán comunicados a REPARALIA DIRECT S.L. para que ésta ofrezca publicidad de sus servicios. (Folios 10 y siguientes). SEIS.- REPARALIA DIRECT, S.L., a requerimiento del Instructor del procedimiento ha informado que: (….) Sobre los destinatarios titulares de los datos personales incluidos en ficheros titularidad de Aquajerez, S.L., no se han realizado campañas, publicidad, ni acciones comerciales de ningún tipo. En este sentido, señalar que además de no haber realizado ninguna acción comercial, Reparalia no ha tenido acceso a dichos datos incluidos en ficheros titularidad de Aquajerez SL en ningún momento. (…) (Folio 640) TERCERO: A.A.A. ha presentado en fecha 01/12/2015 en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en que no puede admitirse la existencia de un consentimiento tácito atendiendo al periodo estival donde se suceden los envíos de las cartas, así como la vulneración del art. 27 de la LOPD, pues REPARALIA no se dedica ni al suministro de aguas, ni a la mejora de dicho servicio. Solicita la anulación de la resolución y que se proceda a solicitar a AQUAJEREZ los consentimientos de los abonados para cotejarlos con los datos que tenga REAPARALIA DIRECT. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por A.A.A., en cuanto a la vulneración del art. 27 de la LOPD, debe señalarse que el citado artículo establece que: 1. El responsable del fichero, en el momento en que se efectúe la primera cesión de datos, deberá informar de ello a los afectados, indicando, asimismo, la finalidad del fichero, la naturaleza de los datos que han sido cedidos y el nombre y dirección del cesionario. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 2. La obligación establecida en el apartado anterior no existirá en el supuesto previsto en los apartados 2, letras c), d),
- e)y 6 del artículo 11, ni cuando la cesión venga impuesta por ley. En el presente caso, el análisis de los hechos y circunstancias del caso concreto se realiza en un estadio anterior, es decir, antes de la cesión o comunicación de datos, en concreto cuando se pretende obtener el consentimiento y no con posterioridad, esto es cuando se produce efectivamente la cesión, ya que el procedimiento analiza la adecuación a la normativa del modo de obtención del consentimiento realizado por AQUAJEREZ, y en concreto de su adecuación al artículo 14 del Real Decreto 1720/2007 por el que se aprueba el Reglamento de desarrollo de la LOPD (…)1. El responsable del tratamiento podrá solicitar el consentimiento del interesado a través del procedimiento establecido en este artículo, salvo cuando la Ley exija al mismo la obtención del consentimiento expreso para el tratamiento de los datos. 2. El responsable podrá dirigirse al afectado, informándole en los términos previstos en los artículos 5 de la Ley Orgánica 15/1999, de 13 de diciembre y 12.2 de este reglamento y deberá concederle un plazo de treinta días para manifestar su negativa al tratamiento, advirtiéndole de que en caso de no pronunciarse a tal efecto se entenderá que consiente el tratamiento de sus datos de carácter personal.(…) En concreto tras la instrucción del procedimiento se admitió que AQUAJEREZ podía ampliar y obtener el consentimiento por este medio, es decir, un consentimiento tácito en la media en que respecto de unos datos tenía la condición de responsable del tratamiento, en la resolución se señala en su Fundamento de Derecho V lo siguiente (…) El caso analizado amplia el consentimiento de los usuarios del servicio de abastecimiento de agua ( tal como se deriva del propio contrato de 6/03/2014 entre las empresas del grupo AQUALIA y REPARALIA) , para ceder los datos a REPARALIA una empresa de servicios de reformas, que por otra parte no se ha probado que haya habido alguna cesión amparada en la tan citada carta de ampliación ya que tanto durante las actuaciones previas de inspección como durante instrucción del procedimiento se ha solicitado información a dichas entidades y negaron cualquier acción publicitaria basada en esta ampliación del consentimiento respecto de los ficheros donde constan los datos personales de los usuarios finales del servicio de abastecimiento de agua. Pues bien, esta Agencia a través de su Gabinete Jurídico ha resuelto sendas consultas en relación con la actuación de los concesionarios de servicios públicos y el tratamiento de datos personales que realizan derivado de tal concesión, debiendo traer a colación en relación al caso analizado en el presente expediente las siguientes consideraciones: En el Informe de 24/09/2008 resuelto por la consulta del Ayuntamiento de Antas, se señala que existirá encargado cuando no exista relación jurídica o vínculo entre el prestador del servicio y el administrado, señalando que (….) En los supuestos en que los que se produce la celebración de un contrato de gestión de servicios públicos, lo que exigirá que el objeto del contrato no se encuentre vinculado al ejercicio de potestades de derecho público o de “potestades inherentes a los poderes públicos”, en los términos de la Ley 30/2007, la ejecución del contrato deberá llevar aparejada la creación de una relación directa entre la entidad adjudicataria y el administrado, de forma que, teniendo en cuenta las modalidades previstas en el art. 253, el adjudicatario facturará directamente y en su propio nombre al administrado el servicio prestado, no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 apareciendo tal facturación vinculada al ejercicio de potestades publicas ni encontrándose sometida al derecho administrativo, teniendo en consecuencia el administrado la condición de “cliente” del servicio prestado por la entidad adjudicataria. En estos caso cabrá considerar que dicha entidad que gestiona el servicio público tiene la condición de responsable del fichero y no de encargada del tratamiento. Así sucederá en el ejemplo al que se refiere documentalmente la consulta, en que la empresa adjudicataria de la gestión de servicios de abastecimiento de agua mantendrá, en principio, una relación directa con los vecinos, siendo responsable de los ficheros relacionados con la prestación de ese servicio. No obstante, si se encomendasen a la misma empresa otras actividades, como por ejemplo, la recaudación de tasas municipales, la misma tendría en relación con los ficheros vinculados a esa labor recaudatoria, la condición de encargada del tratamiento, dado que la tasa únicamente podrá ser recaudada en nombre y por cuenta de la Administración titular de la potestad tributaria.(…..) En el Informe de 20/07/2009, se señala: (…)debe efectuarse una consideración adicional en relación con el papel de la entidad que se encargará de la recaudación de la tasa, por cuanto la misma gestionara el cobro del suministro de agua y de la mencionada tasa, pudiendo concurrir en ella, de forma simultánea las condiciones de responsable y encargado del tratamiento a los efectos previstos en la normativa de protección de datos.(….) Teniendo en cuenta estas circunstancias la entidad tendrá en este caso, y en lo referente al suministro de agua, la condición de responsable del fichero. Sin embargo, en lo que afecta a la recaudación de la tasa objeto de informe, la condición de responsable recaerá necesariamente en la Mancomunidad, titular de la potestad tributaria, no siendo la empresa más que encargada del tratamiento y quedando sujeta al régimen establecido en el art. 12 LOPD(….) De todo lo expuesto y de acuerdo con la documentación obrante en el expediente ( Contrato de Concesión del Servicio, Facturas, Contrato de Encargado del Tratamiento, Contrato con los usuarios finales del servicio, Contrato entre REPARALIA y las empresas del Grupo AQUALIA) , se puede concluir que AQUAJEREZ ostenta la doble cualidad apuntada en los informes transcritos parcialmente, será responsable del tratamiento/fichero: en lo que se refiere al suministro del agua, en la medida en que crea un vínculo nuevo con los vecinos que deciden contratar el servicio ( véase el contrato obrante en los folios 659-670) y que por tanto sus datos son incorporados a un fichero de “Clientes” titularidad de AQUAJEREZ, y en lo que se refiere a cobro de la tasa de residuos sólidos-basura, es encargado de tratamiento, siendo especialmente relevante a estos efectos la existencia del citado contrato de encargo de tratamiento y la circunstancia de que en las facturas emitidas por el concepto “basura” figura el Ayuntamiento de Jerez. Por lo expuesto procede el archivo del presente expediente con la advertencia de que los datos que podrá comunicar amparados en la obtención del nuevo consentimiento ex art. 14.2 RDLOPD, son únicamente aquellos de los que disponga en relación con el suministro del agua como responsable del fichero y tratamiento de los datos de sus clientes ( ABONADOS) y no como recaudador-gestor del cobro, en concreto no podrá comunicar datos económicos, ya sean de cuentas bancarias o tarjetas de crédito o cualquier otro dato o aspecto de los que sea conocedora como “recaudadora”.(…) En conclusión, la existencia de la obtención del consentimiento tácito opera ex lege, es decir, porque así consta en la norma que desarrolla la LOPD, el citado art. 14 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 RDLOPD, y no es misión de esta Agencia valorar su acuerdo o desacuerdo con dicho modo, tal como hace el denunciante, sino analizar los hechos a su adecuación a la citada normativa, resolviendo en el caso analizado su pleno cumplimiento. Asimismo el art. 27 de la LOPD invocado por el recurrente opera previo consentimiento para la cesión, es decir, dicho consentimiento es el que se pretende obtener mediante la figura del consentimiento tácito objeto de análisis y que tras su valoración se estimó su adecuación a la normativa. El citado artículo analiza la obligatoriedad de la comunicación de la cesión de los datos a sus titulares, cuestión que no es objeto de valoración en el procedimiento de referencia. III Por lo tanto, en el presente recurso de reposición, A.A.A. no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por A.A.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 6 de noviembre de 2015, en el procedimiento sancionador PS/00259/2015. SEGUNDO: NOTIFICAR la presente resolución a la entidad A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es