1/7 Expediente Nº: TD/00149/2017 RESOLUCIÓN Nº.: R/01275/2017 Vista la reclamación formulada el 29 de diciembre de 2016 ante esta Agencia por D. A.A.A. contra ORGANIZACIÓN NACIONAL DE CIEGOS ESPAÑOLES (ONCE) por no haber sido debidamente atendidos sus derechos de rectificación y cancelación. Realizadas las actuaciones procedimentales previstas en el artículo 117 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre (en lo sucesivo, RLOPD), se han constatado los siguientes HECHOS PRIMERO: Con fecha 30 de diciembre de 2013 D. A.A.A. (en lo sucesivo, el reclamante) remitió un escrito a ORGANIZACIÓN NACIONAL DE CIEGOS ESPAÑOLES (en lo sucesivo, ONCE) solicitando que los únicos datos que autorizaba a que la entidad mantenga de él sean su dirección postal y un número de teléfono móvil que indica, y que cancelen cualquier otro dato de contacto distinto que conste, entre otros, número de teléfono fijo, otro número de teléfono móvil, fax o correo electrónico. SEGUNDO: Con fecha 29 de diciembre de 2016 tuvo entrada en esta Agencia reclamación contra ONCE por no haber sido debidamente atendido su derecho, aportando el reclamante copia de un curriculum que manifiesta haber generado personalmente en la aplicación PORTALONCE EN GESTIÓN DE CURRICULUM/CURRICULUM EN PDF en el que consta un número de teléfono fijo. TERCERO: Con fecha 07 de febrero de 2017 el reclamante ha remitido a esta Agencia copia de la respuesta emitida por ONCE con fecha 08 de enero de 2014 en la que se indicaban que han procedido a atender sus derechos de rectificación y cancelación. CUARTO: Trasladadas sucesivamente la reclamación y los escritos de descargos que se produjeron en la tramitación del presente expediente, y por lo que a efectos de la resolución de la presente reclamación interesa, se realizaron, en síntesis, las siguientes alegaciones: ONCE señaló que, tal como ha acreditado el reclamante, con fecha 08 de enero de 2014, dentro del plazo legalmente establecido, procedió a atender los derechos de rectificación y cancelación solicitados y a comunicárselo al interesado. Aporta pantallazo de la aplicación informática en la que constan los datos del reclamante. “La ONCE pone a disposición de sus empleados la utilización en red de la aplicación llamada “PORTALONCE” (Portal del Empleado), a través de la cual C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 aquellos pueden acceder a una lista variada de servicios de información y trámites. El apartado de trámites se encuentra disponible en el área personal de cada trabajador, denominada “GESTIONA”, a la que se accede con una contraseña personal y totalmente confidencial que el propio empleado elige y de la que tan sólo él tiene conocimiento. Dentro de esa área personal, a la que la ONCE no puede acceder ya que en ella tan solo puede operar el empleado, se encuentra el campo correspondiente al curriculum vitae en el que los datos única y exclusivamente son introducidos por los propios empleados. La gestión del curriculum funciona de la siguiente manera: cuando el empleado de la ONCE activa por primera vez esa herramienta se produce un volcado automático de sus datos básicos (nombre, apellidos, DNI, fecha de nacimiento, dirección postal y teléfono), generándose un documento en formato Pdf que se almacena en el área personal. A partir de ese momento, la actualización de los datos base registrados en el curriculum solo se produce cada vez que el empleado introduce modificaciones en los datos correspondientes al historial laboral, académico o de formación adicional, utilizando el editor del curriculum. De tal manera que no será hasta que acceda la siguiente vez al nuevo curriculum generado en formato Pdf cuando los datos base que han sido modificados con anterioridad aparezcan ya actualizados. Por el contrario, mientras que el titular del curriculum no realice ninguna modificación de datos en la versión anterior registrada, en el Pdf del curriculum seguirán apareciendo los datos volcados en el momento de su registro inicial o en la anterior variación introducida. Viendo la documentación que se adjunta a la denuncia y lo expresamente manifestado en la descripción de los hechos relatados por el Sr. (…), en donde hace mención al “curriculum en formato Pdf”, se entiende que el Sr. (…), desde antes del momento en el que ejerció su derecho de cancelación y rectificación de datos, no ha efectuado ninguna actualización de su historial académico y cuando la ha llevado a cabo (probablemente en algún momento del cuarto trimestre del año 2016), según se desprende de las fechas de finalización de algunos de los cursos, en el documento Pdf anterior, todavía aparecía el número de teléfono antiguo, número que es presumible ya no aparecerá en las siguientes versiones de su curriculum en formato Pdf, aunque esto no podemos asegurarlo porque, al tratarse del área personal del Sr. (…), no nos resulta posible acceder a dicha información.” El reclamante manifiesta que la entidad no menciona nada sobre su número de teléfono fijo, y que lo siguen utilizando y que aparece en el curriculum que se genera en la aplicación “PORTALONCE”, tal como acreditó con el documento que remitió a esta Agencia en diciembre de 2016. “Que los datos personales del curriculum, yo no puedo editarlos, siendo únicamente posible la introducción y/o rectificación del historial académico y de cursos y formación complementaria, siempre que se hayan acreditado previamente a la Dirección del Centro. Es decir, que solo y cuando han podido compulsar los títulos o cursos es cuando se autoriza a la modificación el curriculum, pero no hay posibilidad alguna de modificar los datos personales C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 desde “GESTIONA” como indica la ONCE, ya que solo pueden modificar los datos personales las personas autorizadas al tratamiento del fichero.” ONCE se reitera en sus alegaciones, insistiendo en que los datos del trabajador sólo se actualizan en caso de que se hayan producido cambios, cuando este introduce modificaciones en su historial académico. “No obstante, con el fin de que el Sr. (…) pueda comprobar que su dato de teléfono fijo ya no aparece en su curriculum vitae, se le insta a que proceda a gestionar a través del área personal de PortalONCE la descarga de un nuevo curriculum con los datos correspondientes al historial académico y formación complementaria actualizados a la fecha de la recepción de la siguiente notificación de esa Agencia y ponga a disposición de la misma el original del documento obtenido.” FUNDAMENTOS DE DERECHO PRIMERO: Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo, LOPD). SEGUNDO: El artículo 18.1 de la LOPD señala que: “Las actuaciones contrarias a lo dispuesto en la presente Ley pueden ser objeto de reclamación por los afectados ante la Agencia Española de Protección de Datos, en la forma que reglamentariamente se determine”. TERCERO: El artículo 16 de la LOPD dispone que “1. El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días. 2. Serán rectificados o cancelados, en su caso, los datos de carácter personal cuyo tratamiento no se ajuste a lo dispuesto en la presente Ley y, en particular, cuando tales datos resulten inexactos o incompletos. 3. La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión. 4. Si los datos rectificados o cancelados hubieran sido comunicados previamente, el responsable del tratamiento deberá notificar la rectificación o cancelación efectuada a quien se hayan comunicado, en el caso de que se mantenga el tratamiento por este último, que deberá también proceder a la cancelación. 5. Los datos de carácter personal deberán ser conservados durante los plazos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado.” CUARTO: El artículo 32.2 y 3 del RLOPD determina: “2. El responsable del fichero resolverá sobre la solicitud de rectificación o cancelación en el plazo máximo de diez días a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre. En el caso de que no disponga de datos de carácter personal del afectado deberá igualmente comunicárselo en el mismo plazo. 3. Si los datos rectificados o cancelados hubieran sido cedidos previamente, el responsable del fichero deberá comunicar la rectificación o cancelación efectuada al cesionario, en idéntico plazo, para que éste, también en el plazo de diez días contados desde la recepción de dicha comunicación, proceda, asimismo, a rectificar o cancelar los datos. La rectificación o cancelación efectuada por el cesionario no requerirá comunicación alguna al interesado, sin perjuicio del ejercicio de los derechos por parte de los interesados reconocidos en la Ley Orgánica 15/1999, de 13 de diciembre.” QUINTO: El artículo 25 del RLOPD determina: “1. Salvo en el supuesto referido en el párrafo 4 del artículo anterior, el ejercicio de los derechos deberá llevarse a cabo mediante comunicación dirigida al responsable del fichero, que contendrá:
- a)Nombre y apellidos del interesado; fotocopia de su documento nacional de identidad, o de su pasaporte u otro documento válido que lo identifique y, en su caso, de la persona que lo represente, o instrumentos electrónicos equivalentes; así como el documento o instrumento electrónico acreditativo de tal representación. La utilización de firma electrónica identificativa del afectado eximirá de la presentación de las fotocopias del DNI o documento equivalente. El párrafo anterior se entenderá sin perjuicio de la normativa específica aplicable a la comprobación de datos de identidad por las Administraciones Públicas en los procedimientos administrativos.
- b)Petición en que se concreta la solicitud.
- c)Dirección a efectos de notificaciones, fecha y firma del solicitante.
- d)Documentos acreditativos de la petición que formula, en su caso. 2. El responsable del tratamiento deberá contestar la solicitud que se le dirija en todo caso, con independencia de que figuren o no datos personales del afectado en sus ficheros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 3. En el caso de que la solicitud no reúna los requisitos especificados en el apartado primero, el responsable del fichero deberá solicitar la subsanación de los mismos. 4. La respuesta deberá ser conforme con los requisitos previstos para cada caso en el presente título. 5. Corresponderá al responsable del tratamiento la prueba del cumplimiento del deber de respuesta al que se refiere el apartado 2, debiendo conservar la acreditación del cumplimiento del mencionado deber…” SEXTO: En cuanto a la apertura de un procedimiento sancionador por supuestas infracciones a la LOPD, cabe señalar que el procedimiento de Tutela de Derechos al que hace referencia esta norma legal, se inicia siempre a instancia del afectado para garantizar sus derechos de acceso, rectificación, cancelación y oposición. Por el contrario, el procedimiento sancionador en materia de protección de datos, que constituye una de las manifestaciones del “ius puniendi” del Estado, se inicia siempre de oficio por el Director de la Agencia Española de Protección de Datos, de conformidad a lo previsto en el artículo 122.2 del RLOPD, como así ha mantenido la Audiencia Nacional en sentencias como, entre otras, la dictada en marzo de 2006 (REC 319/2004). Por tanto es competencia exclusiva de la Agencia Española de Protección de Datos valorar si existen responsabilidades administrativas que han de ser depuradas en un procedimiento sancionador y, en consecuencia, la decisión sobre su apertura, no existiendo obligación de iniciar procedimiento ante cualquier petición realizada por tercero, sino que la misma ha de basarse en la existencia de elementos que justifiquen dicho inicio de actividad sancionadora. Así lo establece el artículo 11.2 del Reglamento de Procedimiento para el Ejercicio de la Potestad Sancionadora aprobado por el Real Decreto 1398/1993, de 4 de agosto, que es del tenor siguiente: “La formulación de una petición no vincula al órgano competente para iniciar procedimiento sancionador, si bien deberá comunicar al órgano que la hubiera formulado los motivos por los que, en su caso, no procede la iniciación del procedimiento. Cuando se haya presentado una denuncia, se deberá comunicar al denunciante la iniciación o no del procedimiento cuando la denuncia vaya acompañada de una solicitud de iniciación” Por otro lado, debe recordarse que para definir la condición de “interesado” para instar al ejercicio de la competencia sancionadora de esta Agencia, la STS de 6-10-2009 dispone que el denunciante no es interesado, y lo hace en los siguiente términos: "el denunciante de una infracción de la legislación de protección de datos carece de legitimación activa para impugnar la resolución de la Agencia en lo que concierne al resultado sancionador mismo (imposición de una sanción, cuantía de la misma, exculpación, etc.)." SÉPTIMO: En el supuesto aquí analizado, ha quedado acreditado que el reclamante ejercitó su derecho ante la entidad demandada solicitando la cancelación de algunos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 sus datos personales, manteniendo, a efectos de notificaciones y comunicaciones, únicamente su dirección postal y un número de teléfono móvil que indica. En enero de 2014, y dentro del plazo legalmente establecido, la entidad le contestó que había procedido a atender su derecho. La reclamación interpuesta ante esta Agencia que ha dado lugar al presente procedimiento está acompañada de un curriculum generado por la aplicación de ONCE en el que consta un número de teléfono fijo. La entidad manifestó que pone a disposición de sus empleados una aplicación a la que pueden acceder únicamente los interesados mediante un usuario y contraseña que el propio empleado elige, y en la que se encuentra el campo correspondiente al curriculum vitae en el que los datos única y exclusivamente son introducidos por los propios empleados, y que cuando el interesado activa por primera vez esa herramienta se produce un volcado automático de sus datos básicos (nombre, apellidos, DNI, fecha de nacimiento, dirección postal y teléfono), generándose un documento en formato Pdf que se almacena en el área personal. A partir de ese momento, la actualización de los datos base registrados en el curriculum solo se produce cada vez que el empleado introduce modificaciones en los datos correspondientes al historial laboral, académico o de formación adicional, utilizando el editor del curriculum. De tal manera que no será hasta que acceda la siguiente vez al nuevo curriculum generado en formato Pdf cuando los datos base que han sido modificados con anterioridad aparezcan ya actualizados. Por el contrario, mientras que el titular del curriculum no realice ninguna modificación de datos en la versión anterior registrada, en el Pdf del curriculum seguirán apareciendo los datos volcados en el momento de su registro inicial o en la anterior variación introducida. En el presente caso, si bien es cierto que ONCE contestó al reclamante indicando que había atendido su derecho de cancelación, del análisis del funcionamiento de la aplicación de la entidad, se desprende que dichos datos personales no fueron efectivamente cancelados, ya que se exige que exista una modificación del historial laboral o académico para que se actualicen dichos datos personales, hecho que no parece haberse producido en el reclamante. No cabe aceptar que para proceder a la cancelación o rectificación de datos personales el reclamante esté obligado a que existan modificaciones en su historial laboral, ya que, mientras no existan dichas modificaciones laborales, el reclamante se ve privado de su derecho de cancelación de sus datos personales. Por ello, procede estimar la presente reclamación que originó el presente procedimiento de tutela de derechos. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por D. A.A.A. e instar a ORGANIZACIÓN NACIONAL DE CIEGOS ESPAÑOLES (ONCE).para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita al reclamante certificación en la que haga constar que ha atendido el derecho de cancelación ejercido por éste, pudiendo incurrir en su defecto en una de las infracciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 previstas en el artículo 44 de la LOPD. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. SEGUNDO: NOTIFICAR la presente resolución a D. NACIONAL DE CIEGOS ESPAÑOLES (ONCE). A.A.A. y a ORGANIZACIÓN De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del RLOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 18.4 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos, en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la Disposición Adicional Cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción ContenciosoAdministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es