TD-00106-2016

1/6 Expediente Nº: TD/00106/2016 RESOLUCIÓN Nº: R/01059/2016 Vista la reclamación formulada el 15 de diciembre de 2015 ante esta Agencia por D. A.A.A. contra UNIVERSIDAD DE ZARAGOZA por no haber sido debidamente atendido su derecho de acceso. HECHOS ÚNICO: Con fecha 15 de diciembre de 2015 ha tenido entrada en esta Agencia reclamación presentada por D. A.A.A. (en lo sucesivo, el reclamante) contra UNIVERSIDAD DE ZARAGOZA (en lo sucesivo, la Universidad) por no haber sido debidamente atendido su derecho de acceso. Con fecha 29 de octubre de 2015 el reclamante presentó un escrito ante la Universidad señalando que dicha institución ha tenido conocimiento de la sentencia firme por la que ha sido condenado el reclamante, y solicita: “Que en el ejercicio de los derechos que me asisten, me sea remitido a mi domicilio con la más absoluta confidencialidad y por escrito el fichero en su totalidad que esa Universidad ha recibido, con indicación de la fecha en que se le remitió a la Universidad, medio, origen de tal fichero, datos de quien lo remitió a la Universidad y posibles usos y cesiones a terceros que se puedan estar habiendo del mismo.” FUNDAMENTOS DE DERECHO PRIMERO: Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo, LOPD). SEGUNDO: El artículo 18.1 de la LOPD señala que: “Las actuaciones contrarias a lo dispuesto en la presente Ley pueden ser objeto de reclamación por los afectados ante la Agencia Española de Protección de Datos, en la forma que reglamentariamente se determine”. TERCERO: El artículo 15 de la LOPD dispone que “1. El interesado tendrá derecho a solicitar y obtener gratuitamente información de sus datos de carácter personal sometidos a tratamiento, el origen de dichos datos, así como las comunicaciones realizadas o que se prevén hacer de los mismos. 2. La información podrá obtenerse mediante la mera consulta de los datos por medio de su visualización, o la indicación de los datos que son objeto de tratamiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 mediante escrito, copia, telecopia o fotocopia, certificada o no, en forma legible e inteligible, sin utilizar claves o códigos que requieran el uso de dispositivos mecánicos específicos. 3. El derecho de acceso a que se refiere este artículo sólo podrá ser ejercitado a intervalos no inferiores a doce meses, salvo que el interesado acredite un interés legítimo al efecto, en cuyo caso podrán ejercitarlo antes.” CUARTO: El artículo 27 del RLOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre (en lo sucesivo, RLOPD), regula el derecho de acceso en los siguientes términos: "1. El derecho de acceso es el derecho del afectado a obtener información sobre si sus propios datos de carácter personal están siendo objeto de tratamiento, la finalidad del tratamiento que, en su caso, se está realizando, así como la información disponible sobre el origen de dichos datos y las comunicaciones realizadas o previstas de los mismos. 2. En virtud del derecho de acceso el afectado podrá obtener del responsable del tratamiento información relativa a datos concretos, a datos incluidos en un determinado fichero, o a la totalidad de sus datos sometidos a tratamiento. No obstante, cuando razones de especial complejidad lo justifiquen, el responsable del fichero podrá solicitar del afectado la especificación de los ficheros respecto de los cuales quiera ejercitar el derecho de acceso, a cuyo efecto deberá facilitarle una realización una relación de todos ellos. 3. El derecho de acceso es independiente del que otorgan a los afectados las leyes especiales y en particular la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común." QUINTO: El artículo 25 del RLOPD determina: “1. Salvo en el supuesto referido en el párrafo 4 del artículo anterior, el ejercicio de los derechos deberá llevarse a cabo mediante comunicación dirigida al responsable del fichero, que contendrá:
2. a)Nombre y apellidos del interesado; fotocopia de su documento nacional de identidad, o de su pasaporte u otro documento válido que lo identifique y, en su caso, de la persona que lo represente, o instrumentos electrónicos equivalentes; así como el documento o instrumento electrónico acreditativo de tal representación. La utilización de firma electrónica identificativa del afectado eximirá de la presentación de las fotocopias del DNI o documento equivalente. El párrafo anterior se entenderá sin perjuicio de la normativa específica aplicable a la comprobación de datos de identidad por las Administraciones Públicas en los procedimientos administrativos.
3. b)C/ Jorge Juan, 6 28001 – Madrid Petición en que se concreta la solicitud. www.agpd.es sedeagpd.gob.es 3/6
4. c)Dirección a efectos de notificaciones, fecha y firma del solicitante.
5. d)Documentos acreditativos de la petición que formula, en su caso. 2. El responsable del tratamiento deberá contestar la solicitud que se le dirija en todo caso, con independencia de que figuren o no datos personales del afectado en sus ficheros. 3. En el caso de que la solicitud no reúna los requisitos especificados en el apartado primero, el responsable del fichero deberá solicitar la subsanación de los mismos. 4. La respuesta deberá ser conforme con los requisitos previstos para cada caso en el presente título. 5. Corresponderá al responsable del tratamiento la prueba del cumplimiento del deber de respuesta al que se refiere el apartado 2, debiendo conservar la acreditación del cumplimiento del mencionado deber…” SEXTO: El artículo 29 del RLOPD dispone lo siguiente: “1. El responsable del fichero resolverá sobre la solicitud de acceso en el plazo máximo de un mes a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición de acceso, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre. En el caso de que no disponga de datos de carácter personal de los afectados deberá igualmente comunicárselo en el mismo plazo. 2. Si la solicitud fuera estimada y el responsable no acompañase a su comunicación la información a la que se refiere el artículo 27.1, el acceso se hará efectivo durante los diez días siguientes a dicha comunicación. 3. La información que se proporcione, cualquiera que sea el soporte en que fuere facilitada, se dará en forma legible e inteligible, sin utilizar claves o códigos que requieran el uso de dispositivos mecánicos específicos. Dicha información comprenderá todos los datos de base del afectado, los resultantes de cualquier elaboración o proceso informático, así como la información disponible sobre el origen de los datos, los cesionarios de los mismos y la especificación de los concretos usos y finalidades para los que se almacenaron los datos". SÉPTIMO: En el supuesto aquí analizado ha quedado acreditado que el reclamante solicitó a la Universidad, al haber tenido conocimiento dicha institución de la sentencia firme por la que ha sido condenado el reclamante, que “(…) me sea remitido a mi domicilio con la más absoluta confidencialidad y por escrito el fichero en su totalidad que esa Universidad ha recibido, con indicación de la fecha en que se le remitió a la Universidad, medio, origen de tal fichero, datos de quien lo remitió a la Universidad y posibles usos y cesiones a terceros que se puedan estar habiendo del mismo.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 El derecho de acceso regulado por la normativa de protección de datos es el acceso a los propios datos personales de base que son objeto de tratamiento. Por ello, información relativa a cómo tuvo conocimiento la Universidad de la sentencia firme que condena al reclamante no forma parte de este derecho de acceso, debiendo tener en cuenta lo preceptuado en el artículo 27.3 del RLOPD anteriormente citado. Por todo ello procede inadmitir la reclamación que originó el presente procedimiento de tutela de derechos. El resto de las cuestiones planteadas por las parte, no resultan de la competencia de esta Agencia, debiéndose dirimir y resolver por las instancias correspondientes. Hay que tener en cuenta, además, que el reclamante presentó ante esta Agencia una denuncia por posible vulneración del deber de secreto, relatando que mantuvo un litigio judicial con Dª (…) señalando que, a través de un compañero de la Universidad, D. (…), ha tenido noticia de que Dª (…) ha distribuido la sentencia dimanante del citado litigio por la Universidad mediante la entrega y distribución de fotocopias de la propia sentencia y por correo electrónico, tratándose de una sentencia en la que figuran sus datos y de intervinientes en el procedimiento, todo ello sin su consentimiento. La resolución dictada por la Directora de esta Agencia por la que se acuerda no incoar actuaciones inspectoras y no iniciar procedimiento sancionador o de infracción de las Administraciones Públicas indica: «(…) Al respecto de la difusión en el seno de la Universidad de Zaragoza, de la sentencia en la que figuran sus datos, debe señalarse que, por un lado, en lo aportado por el denunciante no existe constancia, fuera de sus propias manifestaciones, de que la responsable de la distribución de la misma sea Dª (…). Por otro lado, debe ponerse de manifiesto que la denunciada no cuenta con un deber de secreto como el previsto en el artículo 10 de la LOPD al respecto de la sentencia del procedimiento en el que participó como parte, de ahí que no pueda imputarse a la denunciada, en dicho caso, infracción del citado artículo. En este sentido se ha manifestado la Audiencia Nacional en sentencias como la reciente dictada, el 3 de marzo de 2015 (rec.386/2013), donde señala lo siguiente: “Por lo que respecta a la actuación de don XXXX, concluye la Sala que el deber de secreto expresado no resulta de aplicación a quien comunica el contenido de una sentencia judicial en la que es parte interesada, remitiéndola a otra persona que intervino en el procedimiento administrativo y participó en el Comité Arbitral cuya propuesta dio lugar a la resolución del Rector de la Universidad del País Vasco, objeto del recurso contencioso-administrativo que resuelve la sentencia.” (…) En todo caso, como se ha puesto de manifiesto en la presente resolución, debemos reiterar lo señalado por la Audiencia Nacional, a dicho respecto, en sentencias como la dictada el 20 de junio de 2014 (rec.305/2014), que considera lo siguiente: “Pues bien, el denunciado no tiene un deber de secreto como el recogido en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 art. 10 de la LOPD de las cartas recibidas por el denunciante. El citado art. 10 de la LOPD que establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de los derechos fundamentales, como la intimidad o el derecho a la protección de los datos del artículo 18.4 de la CE. Derecho fundamental que, a tenor de la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, “persigue garantizar a la persona un poder de control sobre sus datos personales, sobre su uso y destino”, e impide que se produzcan situaciones atentatorias frente a su dignidad. Deber de secreto profesional que incumbe a los responsables de ficheros, tal y como esta Sala y Sección ha mantenido en sentencias, entre otras, de 10 de enero de 2005 -recurso nº. 178/2004-, 12 de septiembre de 2007 -recurso nº. 98/2006- y 7 de mayo de 2008 -recurso nº. 228/2006- y que comporta que el responsable de los datos almacenados no puede revelar ni dar a conocer su contenido teniendo el deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo. Deber que constituye una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la citada Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y por lo que ahora interesa, implica que los datos tratados informáticamente, como nombre, apellidos, domicilio y otros no puedan ser conocidos por ninguna persona o entidad distinta de su titular, pues en eso consiste precisamente el secreto. El denunciado, que era el casero de la casa en que vivía el actor junto a su madre, no es encargado o responsable de un fichero de datos en el que se incorporen los datos contenidos en los burofaxes remitidos por el denunciante, no teniendo por tanto, la obligación desde el punto de vista de la normativa en materia de protección de datos, de mantener el secreto sobre dichas comunicaciones.” Al respecto de lo señalado por el denunciante, en torno a si los hechos pudieran suponer una afectación a los derecho regulados por la Ley Orgánica 1/1982, de Protección Civil del Derecho al Honor, nos encontramos ante una cuestión que debiera sustanciarse ante los órganos jurisdiccionales correspondientes, y no ante esta Agencia Española de Protección de Datos dado que el análisis de dichas posibles afectaciones se escapa de sus competencias, como así recoge, en sentencia de 24 de febrero de 2011(rec. 55/2011), la Audiencia Nacional, que nos dice: “En este caso es necesario comenzar desvinculando la materia de protección de datos de la relativa al derecho al honor y ello pues para la protección de este derecho existe un procedimiento especifico de reclamación previsto en la Ley Orgánica 1/1982 de Protección Civil del Derecho al Honor, a la Intimidad Personal y Familiar y a la Propia Imagen cuyo artículo 1 establece que “El derecho fundamental al honor, a la intimidad personal y familiar y a la propia imagen, garantizado en el artículo 18 CE, será protegido civilmente frente a todo género de intromisiones ilegítimas, de acuerdo con lo establecido en la presente ley orgánica”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 La LOPD se aplica en los supuestos en los que se hace necesario someter a determinados controles el empleo de los datos personales para evitar usos inconsentidos, excesivos ó destinados a fines contrarios a los recogidos ó el tratamiento de los datos sin la información precisa etc. Todo esto se protege en un ámbito jurídico que es diferente a la divulgación de informaciones atentatorias a determinados derechos fundamentales como son el honor ó el derecho a la propia imagen. La separación de ambos sistemas de protección se aprecia, también, por el hecho de que los preceptos que se aplican en ambos casos son diferentes y, además, los procedimientos previstos para la reacción ante la violación de uno y otro ámbito del ordenamiento jurídico también son diferentes. “ Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: INADMITIR la reclamación formulada por D. A.A.A. contra UNIVERSIDAD DE ZARAGOZA. SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del RLOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 18.4 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es