1/8 Procedimiento nº.: TD/01197/2013 ASUNTO: Recurso de Reposición Nº RR/00007/2014 Examinado el recurso de reposición interpuesto por la entidad INFORIESGOS, S.A. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el expediente, TD/01197/2013, y en base a los siguientes, HECHOS PRIMERO: Con fecha 28 de noviembre de 2013, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el expediente, TD/01197/2013, en la que se acordó estimar la reclamación de Tutela de Derechos formulada por Dª. A.A.A. contra INFORIESGOS, S.A. contra. SEGUNDO: En el procedimiento que dio lugar a la Resolución impugnada se tuvieron por probados los siguientes hechos: “El Administrador único de INFORIESGOS manifiesta en las alegaciones formuladas durante la tramitación del presente procedimiento de tutela de derechos, que los datos recogidos en la página web de la entidad están relacionado con personas jurídicas y dichos datos proceden del BORME. Según se ha podido comprobar la información relativa a la reclamante está relacionado con una actividad mercantil. La función del Registro Mercantil es lograr la plena seguridad y transparencia del tráfico mercantil y el propósito de la reclamante de eliminar sus datos, no es objeto de la LOPD. Examinadas las alegaciones presentadas por INFORIESGOS, se dio traslado de las mismas a la reclamante mediante escritos de fechas 19/08/2013 y 10/09/2013 a través de cartas certificadas que, fueron devueltas por el servicio de correos por no ser retiradas de la oficina postal.” TERCERO: La resolución ahora recurrida fue notificada fehacientemente a INFORIESGOS, S.A. el 4/12/2013, según consta en el acuse de recibo emitido por el Servicio de Correos. Por la parte recurrente se ha presentado recurso de reposición en fecha 18/12/2013, con entrada en esta Agencia el 30/12/2013, en el que señala que, la resolución está fundamentada erróneamente por no disponer de toda la documentación obrante en el expediente y omitir la reclamante que actuaba en calidad de Administradora solidaria de una empresa. Por otro lado, la resolución ahora recurrida, se estima por no dar respuesta, cuando no fue así, pues si se dio respuesta a la reclamante mediante escrito de fecha 11 de marzo, donde se solicita información para poder localizar sus datos. Como se puede ver la reclamante deliberadamente, no incluyó el correo como C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 administradora solidaria de la empresa, conocedora de dicha condición por la carta remitida el 16/03/2013, donde se la informa también que, su petición queda fuera de la LOPD. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En la Resolución ahora impugnada ya se advertía suficientemente sobre el alcance de las normas contenidas en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), y en el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la Ley Orgánica 15/99, de 13 de diciembre, de Protección de Datos de Carácter Personal, relativa al ejercicio de los derechos de acceso, rectificación y cancelación. En relación a los motivos invocados en el recurso de reposición por el recurrente, es preciso señalar que ya fueron tenidos en cuenta, tal como se indica en la Resolución recurrida: “TERCERO: El artículo 1 de la LOPD dispone que: “Objeto.- La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas (el subrayado pertenece a la Agencia Española de Protección de Datos), y especialmente de su honor e intimidad personal y familiar”. CUARTO: El artículo 2 apartados 2º y 3º del Reglamento de desarrollo de la Ley Orgánica de Protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre dispone que: “2. Este reglamento no será aplicable a los tratamientos de datos referidos a personas jurídicas, ni a los ficheros que se limiten a incorporar los datos de las personas físicas que presten sus servicios en aquéllas, consistentes únicamente en su nombre y apellidos, las funciones o puestos desempeñados, así como la dirección postal o electrónica, teléfono y número de fax profesionales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 3. Asimismo, los datos relativos a empresarios individuales, cuando hagan referencia a ellos en su calidad de comerciantes, industriales o navieros, también se entenderán excluidos del régimen de aplicación de la protección de datos de carácter personal “. QUINTO: El artículo 35 del Código Civil dispone que “Son personas jurídicas: 1. Las corporaciones, asociaciones y fundaciones de interés público reconocidas por la Ley. Su personalidad empieza desde el instante mismo en que, con arreglo a derecho, hubiesen quedado válidamente constituidas. Las asociaciones de interés particular, sean civiles, mercantiles o industriales, a las que la ley conceda personalidad propia, independiente de la de cada uno de los asociados” SEXTO: El artículo 16 de la LOPD dispone que “1. El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días. 2. Serán rectificados o cancelados, en su caso, los datos de carácter personal cuyo tratamiento no se ajuste a lo dispuesto en la presente Ley y, en particular, cuando tales datos resulten inexactos o incompletos. 3. La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión. 4. Si los datos rectificados o cancelados hubieran sido comunicados previamente, el responsable del tratamiento deberá notificar la rectificación o cancelación efectuada a quien se hayan comunicado, en el caso de que se mantenga el tratamiento por este último, que deberá también proceder a la cancelación. 5. Los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado.” SEPTIMO: El artículo 32.2 y 3 Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, determina: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 “2. El responsable del fichero resolverá sobre la solicitud de rectificación o cancelación en el plazo máximo de diez días a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre. En el caso de que no disponga de datos de carácter personal del afectado deberá igualmente comunicárselo en el mismo plazo. 3. Si los datos rectificados o cancelados hubieran sido cedidos previamente, el responsable del fichero deberá comunicar la rectificación o cancelación efectuada al cesionario, en idéntico plazo, para que éste, también en el plazo de diez días contados desde la recepción de dicha comunicación, proceda, asimismo, a rectificar o cancelar los datos. La rectificación o cancelación efectuada por el cesionario no requerirá comunicación alguna al interesado, sin perjuicio del ejercicio de los derechos por parte de los interesados reconocidos en la Ley Orgánica 15/1999, de 13 de diciembre.” OCTAVO: El artículo 25 del Reglamento de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre (en lo sucesivo Reglamento LOPD), determina: “1. Salvo en el supuesto referido en el párrafo 4 del artículo anterior, el ejercicio de los derechos deberá llevarse a cabo mediante comunicación dirigida al responsable del fichero, que contendrá:
- a)Nombre y apellidos del interesado; fotocopia de su documento nacional de identidad, o de su pasaporte u otro documento válido que lo identifique y, en su caso, de la persona que lo represente, o instrumentos electrónicos equivalentes; así como el documento o instrumento electrónico acreditativo de tal representación. La utilización de firma electrónica identificativa del afectado eximirá de la presentación de las fotocopias del DNI o documento equivalente. El párrafo anterior se entenderá sin perjuicio de la normativa específica aplicable a la comprobación de datos de identidad por las Administraciones Públicas en los procedimientos administrativos.
- b)Petición en que se concreta la solicitud.
- c)Dirección a efectos de notificaciones, fecha y firma del solicitante.
- d)Documentos acreditativos de la petición que formula, en su caso. 2. El responsable del tratamiento deberá contestar la solicitud que se le dirija en todo caso, con independencia de que figuren o no datos personales del afectado en sus ficheros. 3. En el caso de que la solicitud no reúna los requisitos especificados en el apartado primero, el responsable del fichero deberá solicitar la subsanación de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 los mismos. 4. La respuesta deberá ser conforme con los requisitos previstos para cada caso en el presente título. 5. Corresponderá al responsable del tratamiento la prueba del cumplimiento del deber de respuesta al que se refiere el apartado 2, debiendo conservar la acreditación del cumplimiento del mencionado deber…”” III En la resolución ahora recurrida se determinó lo siguiente: “DÉCIMO: En el presente caso, la reclamante solicitó a INFORIESGOS la cancelación de sus datos personales contenidos en los ficheros de la misma. Examinada la documentación, se comprueba que la reclamante ejercita el derecho de cancelación en calidad de persona física y no jurídica. Las normas antes citadas no permiten que pueda obviarse la solicitud como si no se hubiera planteado, dejándola sin la respuesta que obligatoriamente deberán emitir los responsables de los ficheros, incluso en aquellos supuestos en los que no reuniera los requisitos previstos, en cuyo caso el destinatario de la misma, debe requerir la subsanación de las deficiencias observadas o bien, dar respuesta denegando motivadamente la mencionada petición de cancelación. Por tanto, la solicitud de cancelación de los datos personales que se formule obliga al responsable de los ficheros de que se trate a dar respuesta expresa, en todo caso, empleando para ello cualquier medio que acredite el deber de respuesta. Por todo ello procede estimar la reclamación que originó el presente procedimiento de tutela de derechos. El resto de las cuestiones planteadas por las parte, no resultan de la competencia de esta Agencia, debiéndose dirimir y resolver por las instancias correspondientes” IV Examinada la documentación obrante en el expediente que dio lugar a la resolución ahora recurrida, señalar que, como ya se dijo en el procedimiento ahora recurrido, la solicitud de cancelación llevada a cabo por la reclamante, se hizo en calidad de persona física y no jurídica. Por otro lado, en relación a que se dio respuesta al derecho de cancelación, según se acredita mediante copia del escrito dirigido a la reclamante donde se solicita que indique la base de datos, lugar de publicación o link, donde se puedan localizar los datos, debemos señalar que el responsable del fichero está obligado a dar una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 respuesta expresa a la solicitud de cancelación, incluso cuando no existen datos registrados relativos al solicitante, debiendo el responsable informar específicamente de la inexistencia de datos referentes al interesado en sus ficheros, por lo tanto, la carta de fecha 11 de marzo de 2013 enviada a la reclamante para que especificara donde puedan localizarse los datos, está conferido para el derecho de acceso pero no para el de cancelación. Por ello, deben remitir a la reclamante certificación dando respuesta al derecho de cancelación solicitado y si no disponen de datos de carácter personal, informar de tal extremo. Para ello debe tener en consideración la inexactitud y la obsolescencia o no del dato. Debe recordarse lo recogido en el informe del gabinete jurídico número 20080042, que indica: “En cuanto a los denominados “ficheros de contactos en las empresas”, el artículo 2.2 del Reglamento, siguiendo una fundamentación similar a la que ha venido indicándose para los comerciantes, industriales y navieros constituidos en empresarios individuales, establece que “este Reglamento no será aplicable a los tratamientos de datos referidos a personas jurídicas, ni a los ficheros que se limiten a incorporar los datos de las personas físicas que presten sus servicios en aquéllas, consistentes únicamente en su nombre y apellidos, las funciones o puestos desempeñados, así como la dirección postal o electrónica, teléfono y número de fax profesionales”. Como se ha indicado, el fundamento de la exclusión efectuada por el inciso segundo del precepto tiene una fundamentación similar a la que se acaba de indicar en relación con el artículo 2.3, limitándose a considerar excluidos de la aplicación de la Ley Orgánica 15/1999 los ficheros en los que la inclusión de los datos identificativos de una determinada persona física es meramente accidental en relación con el contenido y finalidad del tratamiento, teniendo en cuenta lo que ha venido señalándose al respecto en diversas resoluciones de esta Agencia. (…) (…) No obstante, nuevamente, es necesario que el tratamiento del dato de la persona de contacto sea accesorio en relación con la finalidad perseguida. Ello se materializará mediante el cumplimiento de dos requisitos: El primero, que aparece expresamente recogido en el Reglamento será el de que los datos tratados se limiten efectivamente a los meramente necesarios para identificar al sujeto en la persona jurídica a la que presta sus servicios. Por este motivo, el Reglamento impone que el tratamiento se limite a los datos de nombre y apellidos, funciones o puestos desempeñados, dirección postal o electrónica, teléfono y número de fax profesionales. De este modo, cualquier tratamiento que contenga datos adicionales a los citados se encontrará plenamente sometido a la Ley Orgánica 15/1999, por exceder de lo meramente imprescindible para identificar al sujeto en cuanto contacto de quien realiza C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 el tratamiento con otra empresa o persona jurídica. Por ello, no se encontrarían excluidos de la Ley los ficheros en los que, por ejemplo, se incluyera el dato del documento nacional de identidad del sujeto, al no ser el mismo necesario para e mantenimiento del contacto empresarial. Igualmente, y por razones obvias, nunca podrá considerarse que se encuentran excluidos de la Ley Orgánica los ficheros del empresario respecto de su propio personal, en que la finalidad no será el mero contacto, sino el ejercicio de las potestades de organización y dirección que a aquél atribuyen las leyes. El segundo de los límites se encuentra, como en el supuesto contemplado en el artículo 2.3, en la finalidad que justifica el tratamiento. Como se ha venido indicando reiteradamente, la inclusión de los datos de la persona de contacto debe ser meramente accidental o incidental respecto de la verdadera finalidad perseguida por el tratamiento, que ha de residenciarse no en el sujeto, sino en la entidad en la que el mismo desarrolla su actividad o a la que aquél representa en sus relaciones con quienes tratan los datos. De este modo, la finalidad del tratamiento debe perseguir una relación directa entre quienes traten el dato y la entidad y no entre aquéllos y quien ostente una determinada posición en la empresa. De este modo, el uso del dato debería dirigirse a la persona jurídica, siendo el dato del sujeto únicamente el medio para lograr esa finalidad.” En relación al correo electrónico de fecha 20 de marzo de 2013 aportado en el recurso de de reposición por el cual se da respuesta al derecho de cancelación, debemos matizar dos cuestiones: el correo electrónico permite acreditar el envío pero no la recepción de la certificación, requisito necesario de haber informado al reclamante sobre dicho acuerdo, según recoge el mencionado Reglamento, que en su artículo 25.5, señala que: “Corresponderá al responsable del tratamiento la prueba del cumplimiento el deber de respuesta al que se refiere el apartado 2, debiendo conservar la acreditación del cumplimiento del mencionado deber.” Por otro lado, dicho documento, tampoco podría tenerse en cuenta en este recurso, dado que según se recoge en el artículo 112.1 de la Ley de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común en su párrafo segundo “No se tendrán en cuenta en la resolución de los recursos, hechos, documentos o alegaciones del recurrente, cuando habiendo podido aportarlos en el trámite de alegaciones no lo haya hecho.” Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por INFORIESGOS, S.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 28 de noviembre de 2013, en el expediente TD/01197/2013, que estima la reclamación de tutela de derechos formulada Dª. A.A.A. contra INFORIESGOS, S.A.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 SEGUNDO: NOTIFICAR la presente resolución a la entidad INFORIESGOS, S.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es