REPOSICION-TD-01883-2013

1/6 Procedimiento nº.: TD/01883/2013 ASUNTO: Recurso de Reposición Nº RR/00453/2014 Examinado el Recurso de Reposición interpuesto por Dña. A.A.A. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos, en el expediente TD/01883/2013, y en base a los siguientes, HECHOS PRIMERO: Con fecha 28 de abril de 2014, se dictó resolución por el Director de la Agencia Española de Protección de Datos, en el expediente TD/01883/2013, en la que se acordó estimar la reclamación de Tutela de Derechos formulada por Dña. A.A.A. contra la entidad TEBEX, SA. SEGUNDO: En el procedimiento que dio lugar a la Resolución impugnada se tuvieron por probados los siguientes hechos: PRIMERO: Con fecha 14 de octubre de 2013, Dña. A.A.A. (en lo sucesivo la reclamante) ejerció el derecho de acceso a sus datos personales ante la entidad TEBEX, SA. SEGUNDO: En fecha 15 de octubre de 2013, la entidad TEBEX, SA contestó a la solicitud de la reclamante, informándole que para proceder al ejercicio de sus derechos sobre protección de datos deber dirigirse directamente a la entidad para la que está empleado SOCIEDAD ESTATAL DE CORREOS Y TELEGRAFOS, S.A., dado que la resolución de dichos derechos es competencia exclusiva de CORREOS, en virtud de la normativa sobre protección de datos, al resultar CORREOS la responsable del fichero de datos de su personal y dado que no existe autorización ni delegación a favor de TEBEX por parte de CORREOS para resolver su derecho, deberá elevarlo ante RRHH de CORREOS. TERCERO: Con fecha 8 de noviembre de 2013, Dña. A.A.A. formuló reclamación de Tutela de Derechos, ante esta Agencia, contra la entidad TEBEX, SA, por no haber sido debidamente atendido su derecho de acceso. CUARTO: Trasladada la reclamación a la entidad para que efectúe las alegaciones que estime pertinentes, ésta contesta remitiéndose a las alegaciones de otro expediente, “a fin de reproducir sus argumentos jurídicos en los presentes procedimientos”, motivo por cual no es posible dar traslado a la reclamante, en el trámite de audiencia, de las alegaciones de la entidad referidas en ese otro expediente, por lo que a efectos de la resolución de la presente reclamación interesa, se realizaron, en síntesis, las siguientes alegaciones: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6  Por parte de la entidad TEBEX, SA se pone de manifiesto que TEBEX como encargada del tratamiento de CORREOS accede a datos de los ahora reclamantes. No es responsable de los mismos ni puede resolver los derechos ARCO que éstos le hagan llegar. Que en los tres casos TEBEX comunicó a los afectados que contactasen con CORREOS a tal efecto. Que en aras a la brevedad administrativa-procedimental, TEBEX se remite a sus alegaciones del expediente TD/…./2013 a fin de reproducir sus argumentos jurídicos en los presentes procedimientos. QUINTO: Son conocidos por las partes de forma completa todos los hechos, alegaciones y demás documentación aportada por los interesados para su defensa, al haberse dado traslado por la instrucción del expediente a cada uno de los interesados en este procedimiento y constado todo ello en el expediente que obra en esta Agencia Española de Protección de Datos. TERCERO: La resolución ahora recurrida fue notificada fehacientemente a Dña. A.A.A. el 5 de mayo de 2014, según consta en el acuse de recibo emitido por el Servicio de Correos. Por la parte recurrente se ha presentado recurso de reposición en fecha 4 de junio de 2014, con entrada en esta Agencia el 10 de junio de 2014, en el que señala que:  No es cierto que la recurrente conozca los hechos de forma completa ni la documentación ni las alegaciones efectuadas por la entidad TEBEX S.A., porque como bien se expone en el hecho cuarto de la resolución, no se ha dado traslado en el trámite de audiencia a la reclamante de las alegaciones efectuadas por TEBEX S.A. porque en las mismas se hace referencia a las realizadas en otro expediente.  Que la reclamante el único conocimiento que ha tenido del procedimiento ha sido cuando formuló su Reclamación de Tutela de Derechos ante la Agencia Española de Protección de Datos y en fecha 5 de mayo de 2014 cuando se le notificó la resolución del Director de ese organismo.  Que el artículo 63 de la Ley 30/1992 establece en su apartado 2 que los actos administrativos son anulables cuando den lugar a “la indefensión de los interesados”. En el caso que nos ocupa, al no haber sido evacuado el preceptivo trámite de audiencia y tampoco haberle sido facilitado ni el expediente ni las alegaciones afectadas por TEBEX S.A. la recurrente no ha podido ejercer adecuadamente la defensa de su razonamiento que considera a TEBEX S.A. como el responsable de un fichero de datos de carácter Personal, en donde se habrían incorporado datos referidos a su salud sin que la reclamante haya prestado su consentimiento.  Solicita dicte nueva Resolución que anule su resolución de 28 de abril de 2014, estableciendo la retroacción de actuaciones a fin de cumplimentar el trámite de audiencia a la reclamante facilitándole el expediente del procedimiento que contiene la documentación y alegaciones aportadas por las partes. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 PRIMERO: Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). SEGUNDO: En la Resolución ahora impugnada ya se advertía suficientemente sobre el alcance de las normas contenidas en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), y en el Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre. En base a estas normas y en consideración a los hechos tenidos por probados, se determinó que. NOVENO: En el supuesto examinado, ha quedado acreditado que la reclamante ejercitó el derecho de acceso a sus datos personales ante la entidad reclamada, y que, dentro del plazo establecido conforme a las normas antes señaladas, su solicitud obtuvo respuesta por parte de la entidad encargada del tratamiento, pero no consta que dicha entidad haya dado traslado (como establece el artículo 26 del Reglamento de la LOPD) al responsable del fichero de la solicitud de acceso, a fin de que por el mismo se resuelva, sino que, en dicha comunicación se le informa que debe dirigirse directamente al responsable del fichero. En ningún momento la entidad reclamada, como encargada del tratamiento, acredita en el presente caso el traslado de la reclamación al responsable del fichero. Por tanto, no adoptó las medidas oportunas para que se atendiera el derecho de acceso solicitado. A tenor de las definiciones de responsable del fichero o tratamiento y encargado del tratamiento recogidas en el artículo 3 de la LOPD, apartados d) y g), anteriormente citados, se desprende que en este caso, la entidad TEBEX, SA actúa como encargada del tratamiento y CORREOS es la responsable del fichero. A este respecto, conviene traer a colación el artículo 20 del Reglamento de la LOPD, que regula las relaciones entre el responsable del fichero y el encargado del tratamiento, estableciendo que el acceso a los datos por parte de un encargado del tratamiento, que resulte necesario para la prestación de un servicio al responsable, no se considerará comunicación de datos y que el servicio prestado por el encargado del tratamiento podrá tener o no carácter remunerado y ser temporal o indefinido. Y el artículo 12 de la LOPD, sobre acceso a los datos por cuenta de terceros, establece que: “

1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento.
2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato (…).” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 Por otra parte, el Reglamento de la LOPD, en su artículo 5 define como responsable del fichero a aquella persona física o jurídica, de naturaleza pública o privada, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Asimismo, define encargado del tratamiento como la persona física o jurídica, pública o privada, que trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio. Por todo ello, procede estimar la presente reclamación de Tutela de Derechos. TERCERO: Antes de entrar en el fondo de las cuestiones planteadas en el presente recurso, hay que señalar que el procedimiento de Tutela de Derechos se instruye como consecuencia de la denegación de alguno de los derechos regulados por la normativa de protección de datos (acceso, rectificación, cancelación y oposición). Por ello, en el presente caso, sólo serán analizadas y valoradas aquellas cuestiones planteadas por la recurrente que queden incluidas dentro del objeto del citado procedimiento de Tutela de Derechos. En cuanto a la solicitud de que se dicte nueva Resolución que anule la recurrida, estableciendo la retroacción de actuaciones a fin de cumplimentar el trámite de audiencia a la reclamante, facilitándole el expediente del procedimiento que contiene la documentación y alegaciones aportadas por las partes, es conveniente recordar que la Resolución recurrida es estimatoria de la pretensión de la recurrente, e insta a la entidad a remitir a la reclamante certificación en la que haga constar que ha atendido el derecho de acceso ejercido por ésta, acreditando el traslado de la solicitud de acceso al responsable del fichero, pudiendo incurrir en una infracción del artículo 44 de la LOPD si no lo hiciera así. Y con fecha 8 de mayo de 2014, la entidad TEBEX, SA acredita ante esta Agencia el cumplimiento de la Resolución recurrida. Luego, a la recurrente en ningún momento se le ha causado indefensión, pues aun habiendo tenido en consideración sus alegaciones en la Resolución recurrida, esto no modificaría dicha Resolución, que es la más favorable para la recurrente que se puede dictar. En este sentido, el artículo 107.1 de la LRJPAC cuando establece el objeto de los recursos administrativos dispone: “
3. Contra las resoluciones y los actos de trámite, si estos últimos deciden directa o indirectamente el fondo del asunto, determinan la imposibilidad de continuar el procedimiento, producen indefensión o perjuicio irreparable a derechos e intereses legítimos, podrán interponerse por los interesados los recursos de alzada y potestativo de reposición, que cabrá fundar en cualquiera de los motivos de nulidad o anulabilidad previstos en los artículos 62 y 63 de esta Ley. (…)” Y los artículos 62 y 63 de la LRJPAC, establecen: “Artículo
4. Nulidad de pleno derecho.
5. Los actos de las Administraciones públicas son nulos de pleno derecho en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 los casos siguientes: a. Los que lesionen los derechos y libertades susceptibles de amparo constitucional. b. Los dictados por órgano manifiestamente incompetente por razón de la materia o del territorio. c. Los que tengan un contenido imposible. d. Los que sean constitutivos de infracción penal o se dicten como consecuencia de ésta. e. Los dictados prescindiendo total y absolutamente del procedimiento legalmente establecido o de las normas que contienen las reglas esenciales para la formación de la voluntad de los órganos colegiados. (…)” “Artículo
6. Anulabilidad.
7. Son anulables los actos de la Administración que incurran en cualquier infracción del ordenamiento jurídico, incluso la desviación de poder.
8. No obstante, el defecto de forma sólo determinará la anulabilidad cuando el acto carezca de los requisitos formales indispensables para alcanzar su fin o dé lugar a la indefensión de los interesados. (…)” De igual manera, la Sala de lo Contencioso de la Audiencia Nacional establece en los Fundamentos de Derecho de la SAN 24/2006: “SEGUNDO.- Comienza su alegato la demanda invocando determinados defectos formales durante la tramitación por la Agencia de Protección de Datos del expediente que culminó con la estimación de la reclamación. El primero de ellos consiste en la falta de respeto por parte de la Administración del plazo de audiencia dado a SALVAT, y, lo que considera aún más importante, sin tener en cuenta sus alegaciones. Proceder que, según su criterio, supone una burla para su derecho de defensa y manifiesta infracción del artículo 17.4 del Real Decreto 1332/1994, de 20 de junio, que en relación con el procedimiento de tutela establece que se dictará "previos los informes, pruebas y otros actos de instrucción pertinentes, incluida la audiencia del afectado y nuevamente del responsable del fichero". (…) (…)El Abogado del Estado frente a estos argumentos opone en primer lugar, y en relación con los defectos formales invocados, que la anulación fundada en vicios de forma cuando carecen de trascendencia práctica puede ser determinante de una tramitación inútil y una dilación estéril al tenerse que repetir el procedimiento con el requisito formal ya cumplido y luego dictar otro igual al que fue anulado, máxime cuando se trata de un procedimiento de tutela de derechos y no de un procedimiento sancionador. (…) (…) Hemos de convenir con el Abogado del Estado que los defectos formales -el actor invoca varios- solo tienen trascendencia cuando producen efectiva indefensión y que no tiene sentido acogerlos cuando carecen de trascendencia práctica alguna, dando lugar la anulación a tramitaciones inútiles y a dilaciones estériles. Pues bien, siendo la decisión de la Sala acoger la pretensión anulatoria por razones de fondo si anuláramos por razones formales la resolución dictada, con devolución a la Administración para que resolviera nuevamente, estaríamos provocando una de esas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 dilaciones inútiles que denuncia el Abogado del Estado, pues es previsible que la Agencia se pronunciaría en el mismo sentido una vez subsanado el defecto. Esta consideración aconseja entrar directamente en el fondo litigioso.” QUINTO: No obstante, al objeto de analizar la naturaleza como encargado del tratamiento de TEBEX, se procede a la apertura de un expediente de investigación previa, el E/04732/2015, en el marco del cual se evaluará la eventual existencia de infracciones a la legislación en materia de protección de datos. A la vista de lo expuesto, dado que la recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, procede desestimar el presente Recurso de Reposición, ya que ha quedado acreditado que la entidad reclamada atendió, una vez dictada la Resolución de la Tutela de Derechos, la solicitud de acceso recibida. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el Recurso de Reposición interpuesto por Dña. A.A.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 28 de abril de 2014, en el expediente TD/01883/2013, que estima la reclamación de Tutela de Derechos formulada por la misma contra la entidad TEBEX, SA. SEGUNDO: NOTIFICAR la presente resolución a Dña. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es