REPOSICION-PS-00259-2015C

1/6 Procedimiento nº.: PS/00259/2015 ASUNTO: Recurso de Reposición Nº RR/00069/2016 Examinado el recurso de reposición interpuesto por la entidad ECOLOGISTAS EN ACCION JEREZ contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00259/2015, y en base a los siguientes, HECHOS PRIMERO: Con fecha 6 de noviembre de 2015, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00259/2015, en virtud de la cual se resolvía (…): ARCHIVAR EL PROCEDIMIENTO la entidad AQUAJEREZ, S.L., por inexistencia de infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3 b) de la LOPD. Dicha resolución, que fue notificada al recurrente mediante publicación en el Boletín Oficial del Estado de fecha 14/12/2015, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado PS/00259/2015, quedó constancia de los siguientes: procedimiento sancionador, HECHOS PROBADOS UNO.- Mediante Acuerdo de la Junta del Gobierno Local, de 15/03/2013 AQUAJEREZ resulta adjudicatario del contrato de “Concesión de la gestión del Servicio de Abastecimiento de Agua en Baja, Alcantarillado y Depuración en el término municipal de Jerez de la Frontera” En las clausulas Quinta y Sexta del citado contrato se determina que AQUAJEREZ por un lado, recibirá las tarifas de los servicios objeto de la concesión, y que por otro recaudara el importe derivado de tasa municipal de recogida de tratamientos de sólidos urbanos. Asimismo consta un contrato de Encargo de tratamiento en relación con la prestación del servicio objeto de contratación citado anteriormente. (Folios 248-262) DOS.- En las facturas emitidas como consecuencia de la prestación del servicio del que es concesionario AQUAJEREZ, consta que respecto de los conceptos de Agua, Alcantarillado y depuración, figura AQUAJEREZ como entidad emisora y respecto de concepto Basura, figura como entidad emisora el Ayuntamiento de Jerez. (Folios 657658). TRES.- En el contrato de Suministro de Agua suscrito con los destinatarios usuarios finales del servicio consta la entidad AQUAJEREZ como una de las partes del contrato y la otras al ABONADO, donde figura que ésta prestara al ABONADO (…) los servicios municipales solicitados de abastecimiento domiciliario de agua potable y, en su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 caso, alcantarillado y tratamiento de aguas residuales,(…)( Folio 659 a 670) CUATRO.- AQUAJEREZ es una entidad participada por Aqualia Gestion Integral del Agua, S.A, quien firmó un contrato de colaboración empresarial de fecha 6/03/2014 con REPARALIA DIRECT, S.L., por el que aquella se obligaba a la cesión de datos personales de aquellas personas sobre las que, formando parte de su fichero de “gestión de clientes” hubiera obtenido su consentimiento tácito a tal efecto. (Folio 289). En concreto costa en el Expositivo III: (…)REPARALIA está interesada en poder promover las actividades anteriormente señaladas entre los usuarios del servicio de abastecimiento de agua proporcionado por AQUALIA y por las sociedades participadas por dicha entidad (…) CINCO.- Durante el mes de julio de 2014 los vecinos del Ayuntamiento de Jerez de la Frontera recibieron en sus domicilios una carta remitida por AQUAJEREZ en la que se comunica que si en el plazo de 45 días no se informa lo contrario, los datos personales de los destinatarios de la carta serán comunicados a REPARALIA DIRECT S.L. para que ésta ofrezca publicidad de sus servicios. (Folios 10 y siguientes). SEIS.- REPARALIA DIRECT, S.L., a requerimiento del Instructor del procedimiento ha informado que: (….) Sobre los destinatarios titulares de los datos personales incluidos en ficheros titularidad de Aquajerez, S.L., no se han realizado campañas, publicidad, ni acciones comerciales de ningún tipo. En este sentido, señalar que además de no haber realizado ninguna acción comercial, Reparalia no ha tenido acceso a dichos datos incluidos en ficheros titularidad de Aquajerez SL en ningún momento. (…) (Folio 640) TERCERO: ECOLOGISTAS EN ACCION JEREZ ha presentado en fecha 22/01/2016, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en: AQUALIA no ha firmado directamente con los abonados un nuevo contrato para la prestación de servicios. La gestión del cobro de tasa no puede conllevar que dicho gestor se convierta en responsable del fichero o tratamiento. Se produce una vulneración del art. 21 LOPD. El concepto de tasa tiene cabida en lo que el art. 5 RDLOPD considera como fichero público. Existe una confusión respecto de los responsables finales del uso y gestión de los datos personales de los clientes, atendiendo a la dirección que consta habilitada al efecto y la que consta en el RGPD en cuanto al domicilio de la inscripción del fichero. En la página web se recoge como dirección para los derechos arco el envío a Fomento de Construcciones y Contratas. Se vulnera la consideración de consentimiento inequívoco con el modo de prestarlo tácitamente en el plazo de 45 días. Se vulnera el art. 11 OPD ya que se ceden los datos a REPARALIA DIRECT. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por ECOLOGISTAS EN ACCION JEREZ, debe señalarse que son analizadas y desestimadas en los Fundamentos de Derecho V de la Resolución recurrida, tal como se transcribe a continuación: (…) La literalidad del precepto no ofrece dudas respecto de quién está legitimado reglamentariamente para utilizar este medio de obtención del consentimiento, esto es el responsable del tratamiento. Por lo que procede abordar el análisis de la naturaleza jurídica de AQUAJEREZ en relación con la prestación del servicio que gestiona en virtud de sus relaciones contractuales con el Ayuntamiento de Jerez y el derecho fundamental a la protección de datos de carácter personal. Mediante Acuerdo de la Junta del Gobierno Local, de 15/03/2013 AQUAJEREZ resulta adjudicatario del contrato de “Concesión de la gestión del Servicio de Abastecimiento de Agua en Baja, Alcantarillado y Depuración en el término municipal de Jerez de la Frontera” En las clausulas Quinta y Sexta del citado contrato se determina que AQUAJEREZ por un lado, recibirá las tarifas de los servicios objeto de la concesión, y que por otro recaudara el importe derivado de tasa municipal de recogida de tratamientos de sólidos urbanos. Asimismo consta un contrato de Encargo de tratamiento en relación con la prestación del servicio objeto de contratación citado anteriormente. De las facturas emitidas y de los contratos realizados con los usuarios destinatarios del servicio, en relación al servicio objeto de contratación, se desprende que AQUAJEREZ contrata en su propio nombre la prestación del servicio con los vecinos del municipio y que en las facturas se distinguen dos importes derivados de conceptos agrupados según la entidad emisora: respecto del suministro de Agua, Alcantarillado y depuración, figura AQUAJEREZ como entidad emisora y respecto de concepto Basura, figura como entidad emisora el Ayuntamiento de Jerez. Asimismo la entidad denunciada manifiesta que ostenta la cualidad de responsable del fichero/tratamiento respecto de los datos de los vecinos con quien han contratado el servicio de abastecimiento de agua, tanto es así que inscribe en el RGPD de esta Agencia un fichero denominado Clientes, y por otro lado que actúa como encargado de tratamiento, respecto el cobro de la tasa derivada del concepto “Basura”, y que es respecto de los datos que tiene como responsable del fichero a los que ha dirigido la acción prevista en el art. 14 del RDLOPD. El caso analizado amplia el consentimiento de los usuarios del servicio de abastecimiento de agua ( tal como se deriva del propio contrato de 6/03/2014 entre las empresas del grupo AQUALIA y REPARALIA) , para ceder los datos a REPARALIA una empresa de servicios de reformas, que por otra parte no se ha probado que haya habido alguna cesión amparada en la tan citada carta de ampliación ya que tanto durante las actuaciones previas de inspección como durante instrucción del procedimiento se ha solicitado información a dichas entidades y negaron cualquier acción publicitaria basada C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 en esta ampliación del consentimiento respecto de los ficheros donde constan los datos personales de los usuarios finales del servicio de abastecimiento de agua. Pues bien, esta Agencia a través de su Gabinete Jurídico ha resuelto sendas consultas en relación con la actuación de los concesionarios de servicios públicos y el tratamiento de datos personales que realizan derivado de tal concesión, debiendo traer a colación en relación al caso analizado en el presente expediente las siguientes consideraciones: En el Informe de 24/09/2008 resuelto por la consulta del Ayuntamiento de Antas, se señala que existirá encargado cuando no exista relación jurídica o vínculo entre el prestador del servicio y el administrado, señalando que (….) En los supuestos en que los que se produce la celebración de un contrato de gestión de servicios públicos, lo que exigirá que el objeto del contrato no se encuentre vinculado al ejercicio de potestades de derecho público o de “potestades inherentes a los poderes públicos”, en los términos de la Ley 30/2007, la ejecución del contrato deberá llevar aparejada la creación de una relación directa entre la entidad adjudicataria y el administrado, de forma que, teniendo en cuenta las modalidades previstas en el art. 253, el adjudicatario facturará directamente y en su propio nombre al administrado el servicio prestado, no apareciendo tal facturación vinculada al ejercicio de potestades publicas ni encontrándose sometida al derecho administrativo, teniendo en consecuencia el administrado la condición de “cliente” del servicio prestado por la entidad adjudicataria. En estos caso cabrá considerar que dicha entidad que gestiona el servicio público tiene la condición de responsable del fichero y no de encargada del tratamiento. Así sucederá en el ejemplo al que se refiere documentalmente la consulta, en que la empresa adjudicataria de la gestión de servicios de abastecimiento de agua mantendrá, en principio, una relación directa con los vecinos, siendo responsable de los ficheros relacionados con la prestación de ese servicio. No obstante, si se encomendasen a la misma empresa otras actividades, como por ejemplo, la recaudación de tasas municipales, la misma tendría en relación con los ficheros vinculados a esa labor recaudatoria, la condición de encargada del tratamiento, dado que la tasa únicamente podrá ser recaudada en nombre y por cuenta de la Administración titular de la potestad tributaria.(…..) En el Informe de 20/07/2009, se señala: (…)debe efectuarse una consideración adicional en relación con el papel de la entidad que se encargará de la recaudación de la tasa, por cuanto la misma gestionara el cobro del suministro de agua y de la mencionada tasa, pudiendo concurrir en ella, de forma simultánea las condiciones de responsable y encargado del tratamiento a los efectos previstos en la normativa de protección de datos.(….) Teniendo en cuenta estas circunstancias la entidad tendrá en este caso, y en lo referente al suministro de agua, la condición de responsable del fichero. Sin embargo, en lo que afecta a la recaudación de la tasa objeto de informe, la condición de responsable recaerá necesariamente en la Mancomunidad, titular de la potestad tributaria, no siendo la empresa más que encargada del tratamiento y quedando sujeta al régimen establecido en el art. 12 LOPD(….) De todo lo expuesto y de acuerdo con la documentación obrante en el expediente ( Contrato de Concesión del Servicio, Facturas, Contrato de Encargado del Tratamiento, Contrato con los usuarios finales del servicio, Contrato entre REPARALIA y las empresas del Grupo AQUALIA) , se puede concluir que AQUAJEREZ ostenta la doble cualidad apuntada en los informes transcritos parcialmente, será responsable del tratamiento/fichero: en lo que se refiere al suministro del agua, en la medida en que crea un vínculo nuevo con los vecinos que deciden contratar el servicio ( véase el contrato C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 obrante en los folios 659-670) y que por tanto sus datos son incorporados a un fichero de “Clientes” titularidad de AQUAJEREZ, y en lo que se refiere a cobro de la tasa de residuos sólidos-basura, es encargado de tratamiento, siendo especialmente relevante a estos efectos la existencia del citado contrato de encargo de tratamiento y la circunstancia de que en las facturas emitidas por el concepto “basura” figura el Ayuntamiento de Jerez. Por lo expuesto procede el archivo del presente expediente con la advertencia de que los datos que podrá comunicar amparados en la obtención del nuevo consentimiento ex art. 14.2 RDLOPD, son únicamente aquellos de los que disponga en relación con el suministro del agua como responsable del fichero y tratamiento de los datos de sus clientes ( ABONADOS) y no como recaudador-gestor del cobro, en concreto no podrá comunicar datos económicos, ya sean de cuentas bancarias o tarjetas de crédito o cualquier otro dato o aspecto de los que sea conocedora como “recaudadora”. (…) III Respecto de la vulneración de la exigencia del consentimiento inequívoco y de la cesión sin consentimiento que entiende la recurrente producida, debe señalarse que la fórmula del “consentimiento tácito” está prevista en el art. 14.2 del RDLOPD al señalar lo siguiente: (…)El responsable podrá dirigirse al afectado, informándole en los términos previstos en los artículos 5 de la Ley Orgánica 15/1999, de 13 de diciembre y 12.2 de este reglamento y deberá concederle un plazo de treinta días para manifestar su negativa al tratamiento, advirtiéndole de que en caso de no pronunciarse a tal efecto se entenderá que consiente el tratamiento de sus datos de carácter personal.(…) El consentimiento inequívoco se puede entender prestado ante el silencio en la oposición a un determinado tratamiento, no debiendo confundirse el consentimiento expreso, con el término inequívoco que según la Real Academia de la Lengua significa Que no admite duda o equivocación. Por lo expuesto no existirá cesión de datos sin consentimiento, en el caso de que estuviera amparada en una obtención del consentimiento mediante la fórmula prevista en el art. 14.2 RDLOPD. Todo ello sin perjuicio de que durante el procedimiento sancionador no se probó que hubiera existido tal comunicación de datos. IV Por lo tanto, en el presente recurso de reposición, ECOLOGISTAS EN ACCION JEREZ no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por ECOLOGISTAS EN ACCION JEREZ contra la Resolución de esta Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 dictada con fecha 6 de noviembre de 2015, en el procedimiento sancionador PS/00259/2015. SEGUNDO: NOTIFICAR la presente resolución a la entidad ACCION JEREZ. ECOLOGISTAS EN De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es