1/7 Procedimiento nº.: TD/01325/2014 ASUNTO: Recurso de Reposición Nº RR/00836/2014 Examinado el recurso de reposición interpuesto por Don A.A.A., (en representación de Dña. A.A.A.), contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el expediente, TD/01325/2014, y en base a los siguientes, HECHOS PRIMERO: Con fecha 9 de octubre de 2014, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el expediente, TD/01325/2014, en la que se acordó desestimar la reclamación de Tutela de Derechos formulada por Don A.A.A.en representación de Dña. A.A.A.), (en adelante el recurrente), contra la entidad AXESOR CONOCER PARA DECIDIR, S.A. (en adelante Axesor). SEGUNDO: En el procedimiento que dio lugar a la Resolución impugnada se recogen los siguientes hechos: “PRIMERO: En fecha 11 de julio de 2014 A.A.A., (en lo sucesivo, el reclamante), solicitó la cancelación de los datos de la representada contenidos en los ficheros de la entidad AXESOR CONOCER PARA DECIDIR, S.A. AXESOR CONOCER PARA DECIDIR, S.A. contestó la solicitud del reclamante denegando dicho derecho basándose en que los datos contenidos en los ficheros de la entidad se recogen del Boletín Oficial del Registro Mercantil; y que la información permanece actualizada. SEGUNDO: En fecha 6 de agosto de 2014, tuvo entrada en esta Agencia reclamación de A.A.A. ( A.A.A.) contra la entidad AXESOR CONOCER PARA DECIDIR, S.A., por no haber sido debidamente atendido su derecho de cancelación frente al tratamiento de sus datos contenidos en los ficheros de dicha entidad. TERCERO: La resolución ahora recurrida fue notificada fehacientemente al recurrente el 14 de octubre de 2014, según consta en el acuse de recibe emitido por el Servicio de Correos. Por la parte recurrente se ha presentado recurso de reposición con entrada en esta Agencia el 5 de noviembre de 2014, solicitando se admita la reclamación efectuada en su día con fundamento, en síntesis, en los siguientes argumentos: - Que con arreglo a la resolución recurrida prevalece el hecho de ser empresario frente a la condición de persona física del mismo, exponiéndolo a todas las violaciones de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 - Axesor realiza informes mercantiles privados en los que incluye información de las personas físicas vinculadas, tanto en la actualidad como en el pasado, a la administración de dichas empresas, la cual distribuye por Internet dando a conocer datos personales privados que perjudican la esfera personal y profesional de las personas asociadas a dichas entidades, como el caso de su representada. - La inclusión en los informes del histórico de las empresas supone un tratamiento de datos no actualizados y obsoletos. - Axesor no acredita el contenido de los asientos del Registro Mercantil ni puede equiparse a ese Organismo. La AEPD no ha verificado que la información personal distribuida por Axesor en Internet sea cierta o provenga de fuentes accesibles al público. - Las leyes de Registros Públicos, entre ellos el Boletín Oficial del Registro Mercantil, (en lo sucesivo BORME), establecen la no revelación de datos masivos. Con sus resoluciones la AEPD da cobertura legal a la obtención masiva de información de los Boletines Oficiales cuando la ley prohíbe la solicitud en masa de información del BOE. - La resolución recurrida no ha tenido en cuenta los preceptos de la LOPD que Axesor vulnera citados en la reclamación inadmitida. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II Con carácter previo al análisis del fondo del asunto, conviene realizar varias puntualizaciones en relación con las alegaciones efectuadas por el recurrente. Frente a la afirmación relativa a que “Axesor no da la posibilidad de ejercer los derechos de protección de datos en Internet” se señala que el artículo 5.1 de la LOPD vincula el derecho de información, y siempre que el tratamiento recaiga bajo la órbita de dicha normativa, al momento de la recogida de los datos personales de los propios afectados, al establecer que “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco” de una serie de extremos que afectan al tratamiento de los datos que se pretenden recabar, y entre los que se encuentra la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición, mientras que en este caso se está poniendo de manifiesto por el recurrente la difusión de información. Además, consta a esta Agencia que junto al formulario de contacto localizable en la URL http://www.axesor.es/contacto , en el que se solicitan a los usuarios datos de carácter personal, Axesor incluye una cláusula informativa en cumplimiento del mencionado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 deber de información. Asimismo, se observa que la “Instrucción de 17 de febrero de 1998, de la Dirección General delos Registros y del Notariado, sobre principios generales de publicidad formal y actuación de los Registradores de la Propiedad y Mercantiles en caso de petición en masa”, invocada por el recurrente, no resulta de aplicación al caso analizado, ya que determina los requisitos a los que dichos registradores deben ajustar la publicidad formal de los asientos registrales, tanto de los Registros de la Propiedad como Mercantiles, cuando se producen peticiones masivas de notas simples respecto de datos consignados en sus archivos. Se estaría, por tanto ante una situación ajena a la reclamación que nos ocupa, en la que los datos contenidos en los ficheros de la entidad, en este caso en el fichero de “Cargos y Directivos de Sociedades”, se recogen del BORME, Boletín Oficial que conforme a lo previsto en el artículo 3.
- j)de la LOPD tiene la condición de fuente accesible al público, de la que no goza el Registro Mercantil. Por otra parte, no concurre en el procedimiento de Tutela de Derechos tramitado ni en el recurso planteado contra la resolución del mismo prueba en contrario que enerve, en su caso, la procedencia de la información o la veracidad y exactitud de los datos personales de contacto profesional de la reclamante registrados en el citado fichero, ya sea en relación con los puestos ocupados por ésta en la actualidad o en el pasado. Por último, en cuanto al régimen y naturaleza de los ficheros de Axesor cabe remitirse a las resoluciones E/04639/2013 y E/00822/2014, de fechas 4 de marzo de 2014 y 16 de abril de 2015, respectivamente, disponibles en la página web de esta Agencia. III En lo que respecta a las cuestiones planteadas que afectan directamente a la determinación de la procedencia o improcedencia de la denegación del ejercicio del derecho de cancelación de datos, en la resolución ahora impugnada ya se advertía suficientemente sobre el alcance de las normas contenidas en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) que resultaban de aplicación a la reclamación efectuada por denegación del derecho de cancelación ejercido ante la entidad responsable del fichero. En base a estas normas y en consideración a los hechos recogidos, se determinó “que Axesor contestó la solicitud de cancelación presentada por el reclamante denegando dicho derecho basándose en que los datos contenidos en los ficheros de la entidad se recogen del Boletín Oficial del Registro Mercantil ; y que la información permanece actualizada”. Por tanto, y de conformidad con el artículo 2 del RLOPD, los datos aquí mencionados quedan excluidos del ámbito competencial de esta Agencia, por ser datos de carácter eminentemente profesional. En este sentido, se indica en el Fundamento Jurídico Tercero de la SAN de 09 de junio de 2011 (Rec. 147/2010) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 «Sobre esta cuestión del ámbito de aplicación de la LOPD ha señalado esta Sala, véase SAN, Sec. 1ª, de 14 de febrero de 2007 (Rec. 186/2005) que “Si cualquier persona física tiene derecho a la protección de los datos personales, no parece que puedan ser excluidos de tal protección los datos personales de todas aquellas personas físicas que, obviamente conservando tal condición, también tengan la condición de profesionales, pues la adicción de esta circunstancia no les priva de sus derechos como ciudadanos, salvo que estos profesionales organicen su actividad bajo fórmulas mercantiles y que se acredite que los datos eran ajenos a su esfera privada y ostentaban una clara vinculación con la actividad mercantil”. En esta línea en la SAN, Sec. 1ª, de 8 de mayo 2009 (Rec. 514/2007) nos pronunciamos sobre la no aplicabilidad de la LOPD a un supuesto en que se identificaba el nombre de una persona con el de sus sociedades y se refería a deudas de las citadas sociedades vinculadas a dicha persona. Criterio que ha sido reiterado posteriormente en la SAN, Sec. 1ª, de 16 de julio 2009 (Rec. 504/2008)» En el presente caso, el reclamante no ha acreditado que la prestación de los datos recogidos sean obsoletos. “ Por ello, se procedió a inadmitir la reclamación que originó el procedimiento de tutela de derechos. IV Manifiesta el recurrente su disconformidad con la resolución adoptada al excluir de las garantías de la LOPD a la reclamante en razón del tipo de datos personales tratados. En este sentido hay que señalar que de conformidad con el artículo 2.2 del RDLOPD, el tratamiento de los datos personales de carácter eminentemente profesional de la reclamante, en este caso en su condición de persona física que presta o ha prestado sus servicios profesionales en empresas jurídicas, quedan excluidos del ámbito competencial de esta Agencia. Los datos personales de la afectada utilizados se refieren exclusivamente al entorno y actividad profesional de la misma en las empresas en las que ostenta o ha desempeñado cargos de administración. De este modo, el tratamiento de los datos identificativos de la reclamante no está vinculado al ámbito privado y personal de la misma, sino que se adscribe a las organizaciones empresariales en las que presta o ha prestado servicios profesionales en su condición de dato de contacto de las mismas y como información relativa al perfil comercial y mercantil de las empresas. Sentado lo anterior, y teniendo en cuenta que los datos relativos a los cargos se actualizan en función de la información publicada en el BORME, estamos ante una información facilitada por las propias mercantiles a dicho Boletín, que, en principio, responde a la situación profesional real de los titulares de los datos en las empresas, las cuales comunican al BORME los nombramientos y los ceses, pudiendo entenderse, por tanto, que son datos personales puestos al día. No obstante lo cual, y sin perjuicio de que el tratamiento descrito sea lícito, procede analizar, en lo relativo a los datos históricos de la reclamante, si el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 mantenimiento y accesibilidad de los mismos puede considerarse pertinente o excesivo desde el punto de vista de los fines para los que son tratados en relación con el tiempo transcurrido desde los ceses de los cargos. Sobre esta cuestión conviene traer a colación lo dispuesto en los artículos 225, 226, 236 y 241 de la Ley de Sociedades de Capital (LSC), aprobado por Real Decreto Legislativo 1/2010, de 2 de julio. El citado artículo 225, relativo al deber de diligencia, dispone lo siguiente: “1. Los administradores desempeñarán su cargo con la diligencia de un ordenado empresario. 2. Cada uno de los administradores deberá informarse diligentemente de la marcha de la sociedad”. El mencionado artículo 226, relativo al deber de lealtad, establece que: “Los administradores desempeñaran su cargo como un representante leal en defensa del interés social, entendido como interés de la sociedad, y cumplirán los deberes impuestos por las leyes y los estatutos”. Los apartados 1 y 2 del artículo 236, en lo relativo a la responsabilidad de los administradores, establecen que: “1. Los administradores responderán frente a la sociedad, frente a los socios y frente a los acreedores sociales, del daño que causen por actos u omisiones contrarios a la ley o a los estatutos o por los realizados incumpliendo los deberes inherentes al desempeño del cargo, siempre y cuando haya intervenido dolo o culpa. La culpabilidad se presumirá, salvo prueba en contrario, cuando el acto sea contrario a la ley o a los estatutos sociales. 2. En ningún caso exonerará de responsabilidad la circunstancia de que el acto o acuerdo lesivo haya sido adoptado, autorizado o ratificado por la junta general. ” Por último, el artículo 241 bis de la citada LSC, en cuanto a la prescripción de las acciones de responsabilidad, establece que: “La acción de responsabilidad contra los administradores, sea social o individual, prescribirá a los cuatro años a contar desde el día en que hubiera podido ejercitarse”. (el subrayado es de la AEPD) En correspondencia con lo previsto en la LSC, el tratamiento de los datos identificativos de la reclamante realizado por Axesor respecto de los cargos “Históricos” ocupados en su día por ésta resultara pertinente y no excesivo en relación con la finalidad para la que se trata dicha información siempre que se circunscriba a las responsabilidades societarias dimanantes del ejercicio de dichos puestos de administración o gobierno empresarial, y condicionado a que no sea una información personal prescrita u obsoleta a los posible efectos jurídicos pretendidos. Por todo lo cual, no procede la cancelación de los datos personales de índole profesional de la reclamante obrantes en el mencionado fichero, que es del que se nutren los informes mercantiles, dado que son datos referidos a los cargos de administración empresarial desempeñados por ésta en las mercantiles en las que presta o ha prestado sus servicios profesionales, máxime cuando no ha quedado acreditado que sean datos incorrectos u obsoletos. Ahora bien, de producirse por Axesor un tratamiento de los referidos datos personales profesionales de la reclamante que afectase a su esfera personal y privada, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 serían de aplicación las garantías contempladas en la normativa de protección de datos, resultando fundamental tener en cuenta que Axesor no precisaría contar con el consentimiento de la afectada para el tratamiento de sus datos profesionales de carácter personal, ya que al proceder del BORME se aplicaría lo previsto en el artículo 6.2 de la LOPD, precepto que exime de dicha obligación cuando ”los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. “ . En ese contexto la reclamante podría oponerse al tratamiento de sus datos de carácter personal conforme a lo dispuesto en el artículo 6.4 de la LOPD y lo contemplado en el artículo 34.
- a)del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre. Así, el artículo 6.4 de la LOPD establece que: ”En los casos en los que no será necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado.” En la misma línea el artículo 34.
- a)del RDLOPD dispone que “El derecho de oposición es el derecho del afectado a que no se lleve a cabo el tratamiento de sus datos de carácter personal o se cese en el mismo en los siguientes supuestos:
- a)Cuando no sea necesario su consentimiento para el tratamiento, como consecuencia de la concurrencia de un motivo legítimo y fundado, referido a su concreta situación personal, que lo justifique, siempre que una Ley no disponga” V En conclusión, dado que el recurrente no aporta ningún hecho nuevo ni argumento jurídico que permita reconsiderar la validez de la resolución impugnada, procede desestimar el presente recurso de reposición. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Don A.A.A., (en representación de Dña. A.A.A.) contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 9 de octubre de 2014, en el expediente TD/01325/2014, que INADMITE la reclamación formulada por el citado reclamante contra la entidad AXESOR CONOCER PARA DECIDIR, S. A. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. (en representación de Dña. A.A.A.) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es