REPOSICION-TD-01816-2015

1/8 Procedimiento nº.: TD/01816/2015 ASUNTO: Recurso de Reposición Nº RR/00284/2016 Examinado el recurso de reposición interpuesto por D. A.A.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el expediente TD/01816/2015, y en base a los siguientes HECHOS PRIMERO: Con fecha 6 de abril de 2016 se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente TD/01816/2015, en la que se acordó inadmitir la reclamación de Tutela de Derechos formulada por D. A.A.A. contra ARVATO SERVICES IBERIA, S.A. SEGUNDO: En el procedimiento que dio lugar a la Resolución impugnada se tuvieron por probados los siguientes hechos: «PRIMERO: Con fecha 18 de septiembre de 2015 D. A.A.A. (en lo sucesivo, el reclamante) remitió un escrito a ARVATO SERVICES IBERIA, S.A. (en lo sucesivo, Arvato) solicitando que se le informe de: - “Los datos de carácter personal y relativos a la persona de Don (…) que están siendo objeto de tratamiento, en especial el relativo a su número de teléfono (…) - El origen de dichos datos de carácter personal y para qué se están utilizando. - Si esos datos han sido facilitados a terceras entidades.” SEGUNDO: Arvato, con fecha 22 de septiembre, le contestó indicándole que los datos de que disponían se limitan a su nombre y apellidos, su domicilio y teléfono. “Dichos datos, incluidos en nuestro fichero BDT, proceden de la información existente en los directorios de abonados de servicios telefónicos. Estos directorios son fuentes públicas de información accesibles a través de la dirección de internet http:///www.guiasblancas.com los cuales, conforme se establece en la vigente Ley Orgánica (…) tienen el carácter de fuentes accesibles al público. Asimismo, le informamos que los usos y finalidades para los que fueron almacenados dichos datos obedecieron a su utilización en la realización de campañas de publicidad y marketing directo, actividad principal y propia de esta empresa. Estas campañas de publicidad no implican cesión alguna de datos, sino la realización de tratamientos para acciones publicitarias conforme al art. 30 de la Ley Orgánica 15/1999 (…)” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 Le indican que puede ejercitar sus derechos de cancelación, oposición o rectificación. TERCERO: Con fecha 27 de octubre de 2015 tuvo entrada en esta Agencia reclamación contra Arvato por no haber sido debidamente atendido su derecho de acceso, indicando que la dirección web mencionada por la entidad no existe, y que, además, “(…) desconozco a qué empresas les han facilitado mis datos para que realicen campañas de marketing y publicidad directa.” CUARTO: Trasladadas sucesivamente la reclamación y los escritos de descargos que se produjeron en la tramitación del presente expediente, y por lo que a efectos de la resolución de la presente reclamación interesa, se realizaron, en síntesis, las siguientes alegaciones:  Arvato señaló que es una empresa que se dedica al tratamiento informático de bases de datos, a la recopilación de direcciones, prospección comercial, publicidad directa y otras actividades análogas. En ese contexto, la entidad dispone de la titularidad de un fichero que contiene datos personales y cuya información ha sido obtenida de fuentes accesibles al público. Arvato manifiesta que es miembro de pleno derecho de la Asociación Española de Economía Digital (ADIGITAL) y en consecuencia, está autorizada a utilizar el “Servicio de Lista Robinson” de la mencionada Asociación. La entidad aporta copia del escrito que remitió al reclamante atendiendo su solicitud de acceso a sus datos. No obstante, al tener conocimiento del presente procedimiento, le ha enviado un nuevo escrito facilitándole mayores explicaciones del origen, fecha de captación de los datos y eventuales cesionarios de los mismos. En este escrito le especifican que la página web de la que obtuvieron sus datos (http://www.guiasblancas.com) está gestionada por Central de Recursos en Internet, S.L.U., y que esta último entidad se dedica a la elaboración de páginas web, servicios de internet y difusión publicitaria y está autorizada para la prestación del servicio de guía telefónica en formato electrónico de ámbito nacional y que está inscrita en el Registro Especial de Titularidades de autorizaciones Generales, y que para la prestación de este servicio de comunicación electrónica la Comisión del Mercado de Telecomunicaciones suministra a Central de Recursos en Internet los datos de los abonados previstos en la Orden CTE/711/2002, de 26 de marzo, que le son proporcionados por las operadoras de telefonía. Arvato señala que los datos del reclamante continúan constando en la actualidad en la referida página web y que el interesado puede ejercitar sus derechos de oposición o cancelación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 Los datos incluidos en el fichero BDT de Arvato son periódicamente actualizados y se almacenan para la realización de campañas de publicidad y marketing directo. Estas campañas de publicidad no implican cesión o comunicación alguna de datos a terceros, sino la realización de tratamientos para acciones publicitarias. La entidad señala que “(…) los datos del Sr. (…) fueron bloqueados en el fichero BDT de Arvato cuando éste solicitó su derecho de acceso, en fecha 18 de septiembre de 2015”.  El reclamante señala que de las manifestaciones realizadas por Arvato se debe concluir que esta entidad adopta la posición de responsable del fichero y que, por tanto, debe respetar los principios de la LOPD. Por ello, analiza y desarrolla si sus datos personales en la página web www.guiasblancas.com pueden ser considerados incluidos en una fuente accesible al público, para lo que dicha página web debería cumplir los requisitos establecidos en la normativa de telecomunicaciones. Manifiesta que, varios años después de contratar los servicios de telefonía con ONO, solicitó a esta entidad la oposición a que sus datos personales fueses incluidos en guías telefónicas para fines comerciales y su no consentimiento para el uso por la entidad para fines comerciales y la no cesión de sus datos a las empresas del grupo ONO, y que dicha solicitud de oposición fue debidamente atendida, dejando de constar sus datos como abonado en varias páginas web, por lo que “(…) Central de Recursos debió actualizar en abril de 2015 la información correspondiente a sus datos personales”. En consecuencia, el reclamante señala que, dado que sus datos no deberían figurar en la página web www.guiasblancas.com, no debería considerarse que los mismos se han obtenido de fuentes accesibles al público. El reclamante señala que, dado que Arvato no tuvo la cautela y diligencia exigible de asegurarse de que los datos de dicha página web estuviesen actualizados, “(…) procede convertir este procedimiento de Tutela de Derechos en un Procedimiento Sancionador contra Arvato y Central de Recursos (…)”.  Arvato manifiesta que “(…) actuando con absoluta buena fe y tras las comprobaciones oportunas sobre las correspondientes autorizaciones de la Sociedad Central de Recursos en Internet, S.L.U. para el acceso y transmisión de datos de guías telefónicas de abonado, procedió a la extracción de los datos del Sr. (…) que constaban en la referida página web consistentes en nombre, domicilio y teléfono, para su uso en actividades de prospección comercial. Arvato cumplió, además, con la obligación que impone el apartado 4 del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 artículo 49 del RLOPD, cruzando el fichero extraído con el fichero Lista Robinson, gestionado por ADIGITAL, para evitar el envío de comunicaciones comerciales a los interesados que hubiesen manifestando su negativa u oposición a recibir publicidad. Señalar al efecto que el denunciante figuraba dado de alta en dicho servicio pero con otro número de teléfono. (…) Si, como denuncia el Sr. (…) en su escrito, la Sociedad Central de Recursos en Internet, S.L.U. no respetó las normas aplicables a los operadores de comunicaciones electrónicas y entidades habilitadas, es algo que Arvato no podía conocer ningún modo, por lo que no pueden atribuírsele sus responsabilidades como pretende el Sr. (…)”» TERCERO: La resolución ahora recurrida fue notificada fehacientemente a D. A.A.A. el 11 de abril de 2016 según consta en el acuse de recibo emitido por el Servicio de Correos. Se ha presentado recurso de reposición en fecha 25 de abril de 2016, con entrada en esta Agencia el mismo día, en el que señala que “En atención a esta normativa, y dado que mi operador (ONO) procedió a cancelar mis datos personales a efectos de repertorios telefónicos en abril de 2015, la web www.guiasblancas.com debió actualizar esta información (…). Esto significa que desde finales de mayo de 2015 mis datos personales estuvieron ilícitamente incluidos en los ficheros de www.guiasblancas.com” Asimismo, el recurrente manifiesta que en la resolución ahora recurrida se aplica incorrectamente el artículo 28.3 de la LOPD, cuando debería haberse aplicado el 28.4 de la LOPD, que establece que “Los datos que figuren en las guías de servicios de telecomunicaciones disponibles al público se regirán por su normativa específica”. El recurrente invocó diversas Circulares de la Comisión del Mercado de las Telecomunicaciones. “(…) Por tanto, atendamos a un plazo o a otro, resulta acreditado que ARVATO estuvo tratando mis datos personales en sus ficheros una vez que se perdió la condición de fuente accesible al público de la fuente de donde los obtuvo, lo que es base para proceder a la apertura del procedimiento sancionador que se solicitaba en el escrito de Tutela de Derechos.” FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 II Este Recurso de Reposición se resuelve extemporáneamente y se emite resolución expresa a tenor de los artículos 21.1 párrafo primero, 123.1 y 124.2 de la LPACAP, según los cuales: “Artículo

1. Obligación de resolver
2. La Administración está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación. Artículo
3. Objeto y naturaleza.
4. Los actos administrativos que pongan fin a la vía administrativa podrán ser recurridos potestativamente en reposición ante el mismo órgano que los hubiera dictado o ser impugnados directamente ante el orden jurisdiccional contencioso-administrativo. Artículo
5. Plazos.
6. El plazo máximo para dictar y notificar la resolución del recurso será de un mes.” III En la Resolución ahora impugnada ya se advertía suficientemente sobre el alcance de las normas contenidas en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo, LOPD), y en el Reglamento de desarrollo de la LOPD aprobado por Real Decreto 1720/2007, de 21 de diciembre (en lo sucesivo, RLOPD). De conformidad con dichas leyes se determinó: «OCTAVO: En el supuesto aquí analizado, ha quedado acreditado que el reclamante ejercitó su derecho de acceso ante Arvato, y que esta entidad le facilitó los datos solicitados dentro del plazo legalmente establecido. Durante la tramitación del presente procedimiento, Arvato ha remitido un nuevo escrito al reclamante ampliándole la información facilitada indicando que los datos proceden de una página web gestionada por una entidad que está autorizada para la prestación del servicio de guía telefónica en formato electrónico de ámbito nacional. En consecuencia, procede inadmitir la presente reclamación de Tutela de Derechos. En cuanto a la petición que hace el reclamante en su escrito de alegaciones para que se instruya un procedimiento sancionador contra Arvato y contra Central de Recursos, hay que tener en cuenta lo dispuesto en el artículo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 28.3 de la LOPD anteriormente transcrito, que establece el plazo de un año para que una lista en formato electrónico pierda el carácter de fuente de acceso público. La atención del derecho de oposición al tratamiento de sus datos que el reclamante solicitó a ONO se produjo en abril de 2015, por lo que aún no habría transcurrido el plazo anula establecido, no procediendo, por tanto, la apertura de procedimiento sancionador contra dichas entidades.» IV El recurrente argumenta el presente recurso de reposición indicando que sus datos estuvieron ilícitamente incluidos en los ficheros www.guiasblancas.com al no haberse actualizado la información ya que sus datos habían sido cancelados por su operador ONO. Asimismo, el recurrente manifiesta que en la resolución ahora recurrida se aplica incorrectamente el artículo 28.3 de la LOPD, cuando debería haberse aplicado el 28.4 de la LOPD, que establece que “Los datos que figuren en las guías de servicios de telecomunicaciones disponibles al público se regirán por su normativa específica”. El recurrente invocó diversas Circulares de la Comisión del Mercado de las Telecomunicaciones. “(…) Por tanto, atendamos a un plazo o a otro, resulta acreditado que ARVATO estuvo tratando mis datos personales en sus ficheros una vez que se perdió la condición de fuente accesible al público de la fuente de donde los obtuvo, lo que es base para proceder a la apertura del procedimiento sancionador que se solicitaba en el escrito de Tutela de Derechos.” El procedimiento de Tutela de Derechos se instruye como consecuencia de la denegación de alguno de los derechos regulados en la normativa de protección de datos. Por ello, en la resolución ahora recurrida, sólo se analizaron y valoraron las circunstancias relativas al derecho de acceso solicitado. Examinada la reclamación presentada por el recurrente ante esta Agencia y que dio lugar al procedimiento cuya resolución ahora se recurre solicitaba: «(SIC) Primero.- La tutela de la Agencia Española de Protección de Datos al amparo de lo establecido en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, por vulneración del artículo 15 de la referida Ley Orgánica, y de los artículos 31, 32 y 33 del Real Decreto 1720/2007, de 21 de diciembre, que la desarrolla. Segundo.- Expresamente solicito que se tutele mi derecho de acceso, requiriendo a Arvato para que me indique a qué empresas les ha facilitado mis datos personales y cuándo se ha producido dicha cesión.» Por ello, la resolución dictada por esta Agencia se pronunciaba sobre las pretensiones del reclamante, entre las que no se incluía, la petición de incoación de procedimiento sancionador. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 En cualquier caso, en cuanto a la apertura de un procedimiento sancionador por supuestas infracciones a la LOPD, cabe señalar que el procedimiento de Tutela de Derechos al que hace referencia esta norma legal, se inicia siempre a instancia del afectado para garantizar sus derechos de acceso, rectificación, cancelación y oposición. Por el contrario, el procedimiento sancionador en materia de protección de datos, que constituye una de las manifestaciones del “ius puniendi” del Estado, se inicia siempre de oficio por el Director de la Agencia Española de Protección de Datos, de conformidad a lo previsto en el artículo 122.2 del RLOPD, como así ha mantenido la Audiencia Nacional en sentencias como, entre otras, la dictada en marzo de 2006 (REC 319/2004). Por tanto es competencia exclusiva de la Agencia Española de Protección de Datos valorar si existen responsabilidades administrativas que han de ser depuradas en un procedimiento sancionador y, en consecuencia, la decisión sobre su apertura, no existiendo obligación de iniciar procedimiento ante cualquier petición realizada por tercero, sino que la misma ha de basarse en la existencia de elementos que justifiquen dicho inicio de actividad sancionadora. Así lo establece el artículo 11.2 del Reglamento de Procedimiento para el Ejercicio de la Potestad Sancionadora aprobado por el Real Decreto 1398/1993, de 4 de agosto, que es del tenor siguiente: “La formulación de una petición no vincula al órgano competente para iniciar procedimiento sancionador, si bien deberá comunicar al órgano que la hubiera formulado los motivos por los que, en su caso, no procede la iniciación del procedimiento. Cuando se haya presentado una denuncia, se deberá comunicar al denunciante la iniciación o no del procedimiento cuando la denuncia vaya acompañada de una solicitud de iniciación” Por otro lado, debe recordarse que para definir la condición de “interesado” para instar al ejercicio de la competencia sancionadora de esta Agencia, la STS de 6-10-2009 dispone que el denunciante no es interesado, y lo hace en los siguiente términos: "el denunciante de una infracción de la legislación de protección de datos carece de legitimación activa para impugnar la resolución de la Agencia en lo que concierne al resultado sancionador mismo (imposición de una sanción, cuantía de la misma, exculpación, etc.)." En el mismo sentido se ha manifestado la SAN 27/5/2010: "quien denuncia hechos que considera constitutivos de infracción de la legislación de protección de datos carece de legitimación activa para impugnar en vía jurisdiccional lo que resuelva la Agencia. (...) La razón es, en sustancia, que el denunciante carece de la condición de interesado en el procedimiento sancionador que se puede incoar a resultas de su denuncia. Ni la Ley Orgánica de Protección de Datos ni su Reglamento de desarrollo le reconocen esa condición. (...) El argumento crucial en esta materia es que el denunciante, incluso cuando se considere a sí mismo "víctima" de la infracción denunciada, no tiene un derecho subjetivo ni un interés legítimo a que el denunciado sea sancionado". Aplicando la doctrina pacífica del Tribunal Supremo, conforme a la cual “la denuncia no convierte al denunciante en titular de un derecho subjetivo ni de un interés personal o legítimo que hubiera de traducirse en un beneficio o utilidad”. (STSS. de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 23/06/1997, 22/12/1997, 14/07/1998, 2/03/1999, 26/10/2000, 30/01/2001, 15/07/2002, 28/02/2003 y 06/03/2003); la circunstancia de haber presentado el actual reclamante la denuncia no le otorga por sí mismo la condición de persona interesada. En consecuencia de lo anteriormente señalado, dado que no consta ningún hecho nuevo ni argumento jurídico que permita reconsiderar la validez de la resolución impugnada, procede desestimar el presente recurso de reposición. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por D. A.A.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 6 de abril de 2016 en el expediente TD/01816/
7. SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del RLOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es