1/8 Procedimiento Nº: TD/00705/2013 RESOLUCIÓN Nº.: R/02059/2013 Vista la reclamación con fecha de entrada en esta Agencia 3 de abril de 2013 formulada por D. A.A.A., contra la entidad MQM TU SALUD A UN CLIC, S.L., por no haber sido debidamente atendido sus derechos de acceso y cancelación. Realizadas las actuaciones procedimentales previstas en el artículo 117 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre (en adelante RLOPD), se han constatado los siguientes HECHOS PRIMERO: Con fechas 3 de octubre, 13 de noviembre y 18 de diciembre de 2012, D. A.A.A. (en lo sucesivo, el reclamante) ejerció derechos de acceso y cancelación frente a la entidad MQM TU SALUD A UN CLIC, S.L. (en adelante, MQM) Dichos ejercicios de derecho fueron devueltos al remitente tras infructuosos intentos de notificación y no ser retirados de la Oficina Postal. SEGUNDO: Trasladadas la reclamación y los escritos de descargos que se produjeron en la tramitación del presente expediente, y por lo que a efectos de la resolución de la presente reclamación interesa, se realizaron, en síntesis, las siguientes alegaciones: MQM manifiesta que ha procedido a cancelar los datos relativos al reclamante, así como la opinión vertida por un usuario de su web y que se lo ha comunicado al reclamante mediante correo. El reclamante alega que no ha recibido comunicación alguna de la entidad reclamada. MQM acredita que ha procedido a atender el derecho de cancelación mediante comunicación de fecha de imposición 8 de agosto de 2013, que fue entregada el 16 del mismo mes, según figura en el la web de Correos, apartado Localizador de envíos, Carta certificada B.B.B.. TERCERO: Son conocidos por las partes los hechos, alegaciones y demás documentación aportada por los interesados para su defensa, al haberse dado traslado por la instrucción del expediente en este procedimiento, tal y como consta en el expediente que obra en esta Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 FUNDAMENTOS DE DERECHO PRIMERO: Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). SEGUNDO: El artículo 18.1 de la LOPD señala que: “Las actuaciones contrarias a lo dispuesto en la presente Ley pueden ser objeto de reclamación por los afectados ante la Agencia Española de Protección de Datos, en la forma que reglamentariamente se determine”. TERCERO: El artículo 16 de la LOPD dispone que: “1. El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días. 2. Serán rectificados o cancelados, en su caso, los datos de carácter personal cuyo tratamiento no se ajuste a lo dispuesto en la presente Ley y, en particular, cuando tales datos resulten inexactos o incompletos. 3. La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión. 4. Si los datos rectificados o cancelados hubieran sido comunicados previamente, el responsable del tratamiento deberá notificar la rectificación o cancelación efectuada a quien se hayan comunicado, en el caso de que se mantenga el tratamiento por este último, que deberá también proceder a la cancelación. 5. Los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado.” CUARTO: El artículo 32.2 y 3 del RLOPD, determina que: “2. El responsable del fichero resolverá sobre la solicitud de rectificación o cancelación en el plazo máximo de diez días a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 En el caso de que no disponga de datos de carácter personal del afectado deberá igualmente comunicárselo en el mismo plazo. 3. Si los datos rectificados o cancelados hubieran sido cedidos previamente, el responsable del fichero deberá comunicar la rectificación o cancelación efectuada al cesionario, en idéntico plazo, para que éste, también en el plazo de diez días contados desde la recepción de dicha comunicación, proceda, asimismo, a rectificar o cancelar los datos. La rectificación o cancelación efectuada por el cesionario no requerirá comunicación alguna al interesado, sin perjuicio del ejercicio de los derechos por parte de los interesados reconocidos en la Ley Orgánica 15/1999, de 13 de diciembre.” QUINTO: El artículo 24 del RLOPD, en relación a las condiciones generales para el ejercicio de los derechos de acceso, rectificación, cancelación y oposición, establece que: “5. El responsable del fichero o tratamiento deberá atender la solicitud de acceso, rectificación, cancelación u oposición ejercida por el afectado aún cuando el mismo no hubiese utilizado el procedimiento establecido específicamente al efecto por aquél, siempre que el interesado haya utilizado un medio que permita acreditar el envío y la recepción de la solicitud, y que ésta contenga los elementos referidos en el párrafo 1 del artículo siguiente.” SEXTO: El artículo 25 del RLOPD, dispone que: “1. Salvo en el supuesto referido en el párrafo 4 del artículo anterior, el ejercicio de los derechos deberá llevarse a cabo mediante comunicación dirigida al responsable del fichero, que contendrá:
- a)Nombre y apellidos del interesado; fotocopia de su documento nacional de identidad, o de su pasaporte u otro documento válido que lo identifique y, en su caso, de la persona que lo represente, o instrumentos electrónicos equivalentes; así como el documento o instrumento electrónico acreditativo de tal representación. La utilización de firma electrónica identificativa del afectado eximirá de la presentación de las fotocopias del DNI o documento equivalente. El párrafo anterior se entenderá sin perjuicio de la normativa específica aplicable a la comprobación de datos de identidad por las Administraciones Públicas en los procedimientos administrativos.
- b)Petición en que se concreta la solicitud.
- c)Dirección a efectos de notificaciones, fecha y firma del solicitante.
- d)Documentos acreditativos de la petición que formula, en su caso. 2. El responsable del tratamiento deberá contestar la solicitud que se le dirija en todo caso, con independencia de que figuren o no datos personales del afectado en sus ficheros. 3. En el caso de que la solicitud no reúna los requisitos especificados en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 apartado primero, el responsable del fichero deberá solicitar la subsanación de los mismos. 4. La respuesta deberá ser conforme con los requisitos previstos para cada caso en el presente título. 5. Corresponderá al responsable del tratamiento la prueba del cumplimiento del deber de respuesta al que se refiere el apartado 2, debiendo conservar la acreditación del cumplimiento del mencionado deber…” SÉPTIMO: El artículo 15 de la LOPD, relativo al derecho de acceso, dispone: “1. El interesado tendrá derecho a solicitar y obtener gratuitamente información de sus datos de carácter personal sometidos a tratamiento, el origen de dichos datos, así como las comunicaciones realizadas o que se prevén hacer de los mismos. 2. La información podrá obtenerse mediante la mera consulta de los datos por medio de su visualización, o la indicación de los datos que son objeto de tratamiento mediante escrito, copia, telecopia o fotocopia, certificada o no, en forma legible e inteligible, sin utilizar claves o códigos que requieran el uso de dispositivos mecánicos específicos. 3. El derecho de acceso a que se refiere este artículo sólo podrá ser ejercitado a intervalos no inferiores a doce meses, salvo que el interesado acredite un interés legítimo al efecto, en cuyo caso podrán ejercitarlo antes.” OCTAVO: En primer lugar, independientemente de que los datos tratados por la entidad reclamada hayan sido obtenidos de fuentes accesibles al público (listados publicados por las consejerías de sanidad y entidades sanitarias privadas), lo cual determina que no es necesario el consentimiento del afectado para el tratamiento de los mismos, ha quedado constatado que la reclamante ejercitó el derecho de cancelación ante MQM. El derecho de cancelación es un derecho fundamental que habilita al titular de los datos la potestad de decidir sobre el uso y protección de los mismos. En consecuencia, como establece el artículo 16.1 de la LOPD el responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de cancelación en el plazo de diez días tras la recepción de la solicitud, salvo en los supuestos recogidos en el artículo 33 del RLOPD. En el supuesto de datos procedentes de fuentes de acceso público –cuyo tratamiento, por tanto, no se encuentra sujeto a consentimiento- cabría la exclusión del tratamiento en base a lo previsto en el artículo 17 de la LOPD y 34 y siguientes de su Reglamento de desarrollo. En segundo lugar, en cuanto a que los datos tratados relativos a la reclamante se refieren exclusivamente a la esfera profesional por lo que se encontrarían excluidos del ámbito de aplicación de LOPD, conviene traer a colación la Sentencia de la Audiencia Nacional con número de recurso 369/2010, de fecha 12 de mayo de 2011, cuyo tenor literal establece: “Se trata del problema de la aplicación o no de la normativa sobre protección de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 datos a aquellos supuestos en que los datos se refieran a personas físicas, pero que lleven a cabo una actividad mercantil o profesional, que ha sido ya enjuiciado y resuelto por esta misma Sala en ocasiones anteriores (SAN 29-3-06 Rec. 348/2004, de 10 de septiembre de 2009 (rec. 89/2008) por todas) Para ello es imprescindible recordar algunas de las consideraciones de la STC 292/2000, de 30 de noviembre, que establece que (FJ 6º) el objeto de protección del derecho fundamental a la protección de datos no se reduce solo a los datos íntimos de la persona sino a cualquier tipo de datos personales, sean o no íntimo, cuyo conocimiento o empleo por terceros pueda afectar a sus derechos, sean o no fundamentales, porque su objeto no es sólo la intimidad individual, que para ello está el art. 18.1 CE
(6), sino los datos de carácter personal. Por consiguiente, también alcanza a aquellos datos personales públicos, que por el hecho de serlo, de ser accesibles al conocimiento de cualquiera, no escapan al poder de disposición del afectado, porque así lo garantiza su derecho a la protección de datos (pues) los datos amparados son todos aquellos que identifiquen o permitan la identificación de la persona pudiendo servir para la confección de su perfil ideológico, racial, sexual, económico o de cualquier otra índole, o que sirvan para cualquier otra utilidad que en determinadas circunstancias constituye una amenaza para el individuo. No puede concluirse, por tanto, que los empresarios individuales y profesionales estén en su conjunto excluidos del ámbito de protección de la LOPD sino que se hace necesario diferenciar (y la línea divisoria es confusa y difusa) cuando un dato del empresario o profesional, se refiere a la vida privada de la persona y cuando a la empresa o profesión, pues solo en el primer caso cabe aplicarla protección de la LO 15/1999. Labor de diferenciación que puede basarse en dos criterios distintos y complementarios: Uno, el criterio objetivo de la clase y la naturaleza de los datos tratados, según estén en conexión y se refieran a una esfera (la íntima y personal) o a otra (la profesional) de la actividad. Otro, el de la finalidad del tratamiento y circunstancias en que éste se desarrolla, criterio éste que operaría en aquellos casos en que alguno de los datos profesionales coincida con los particulares (por ej. coincidencia de domicilio privado con el de la empresa, o cuando no se pueda acreditar si una deuda es de la empresa o si es personal del interesado). Acorde con dicha doctrina, y haciendo hincapié en que la LOPD tiene por objeto garantizar y proteger los datos personales entendiendo por tales, ex artículo 3.a) de dicha Ley "cualquier información concerniente a persona física identificadas o identificares" esta Sala ha considerado, en ocasiones anteriores en que se ha planteado la misma controversia, que dicha Ley sí ampara los datos personales de los profesionales del mercado de la construcción (arquitectos) en la sentencia de 21-11-2002 (Rec. 881/2000).Y también en la sentencia de 25-6-2003, Rec. 1099/2000), entendimos incluidos en el ámbito protector de la Ley los datos personales de particulares que actuaban como promotores en la construcción de su propia vivienda. Además, en nuestra sentencia de 11-2-2004 (Rec. 119/2002) y ya bajo la vigencia de la actual LOPD, hemos entendido que el dato del afectado, aunque se refería al lugar de ejercicio de su profesión (un despacho de abogados) era un dato de una persona física con una actividad profesional cuya protección cala en la órbita de la Ley Orgánica 15/1999 "pues los datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 personales son predicables de todos los ciudadanos, sin que puedan excluirse de dicha previsión los relativos a aquellos que realizan una profesión, pues el ejercicio de esta actividad no puede ser equiparado a estos efectos a la de una empresa, como parece mantener el recurrente". En el supuesto que nos ocupa, la entidad reclamada trata datos de facultativos que, si bien, pueden entenderse como profesionales, a su vez, pueden ser coincidentes con los particulares (nombre, apellidos, domicilio…). Asimismo, en la web de la entidad reclamada se ponen a disposición al objeto de promover la inserción de comentarios y valoraciones realizadas por usuarios anónimos, circunstancia que indudablemente afecta a su esfera íntima y personal y que puede vulnerar sus derechos. Como afirma la Sentencia arriba trascrita, con independencia de su condición de profesional, los datos personales de la reclamante que trata la entidad reclamada hacen referencia a datos de la persona física, y no de una persona jurídica o sociedad que él regentara, por lo que afectan a la esfera particular del mismo en cuanto identifican a su persona poniéndolos a disposición de terceros con una finalidad que puede afectar a alguno de los derechos inherentes a su persona. Por lo tanto, el tratamiento de dichos datos se encuentra incluido dentro del ámbito de aplicación de la LOPD. En sentido similar cabe resaltar lo dispuesto en la SAN 29-03-2006: “El afectado, que en cuanto Agente Comercial de La Rioja y por ende en el desarrollo de su actividad profesional se ve afectado por el tratamiento de sus datos personales (nombre completo y domicilio particular) por parte de Colegio Oficial de la Rioja, también ha de considerarse incluido en el ámbito de aplicación de la LOPD toda vez que tal tratamiento, no se refiere exclusivamente a la actividad profesional concreta y específica de dicho afectado, ni es necesario para el desarrollo de la misma, sino que se vincula a un derecho personal del afectado, (…) En definitiva, se han tratado datos en el ámbito profesional del afectado, pero que también afectan a la esfera particular del mismo en cuanto identifican permiten la identificación de su persona y cuyo conocimiento o empleo por terceros puede afectar a uno de los derechos inherentes a su persona (…) Todo ello en consonancia con el planteamiento del Tribunal Europeo de los Derechos Humanos que en la Sentencia 9-11-2010, relativa a la publicación en página web de beneficiarios de subvenciones FEOGA Y FEDER, recoge: “A este respecto es irrelevante el hecho de que los datos publicados se refieran a actividades profesionales (véase la sentencia Österreichischer Rundfunk y otros, antes citada, apartados 73 y 74). El tribunal Europeo de Derechos Humanos ha declarado a este respecto que los términos “vida privada” no debían interpretarse restrictivamente y que <<ninguna razón de principio permite excluir las actividades profesionales (….) de concepto de “vida privada”>> (véase, en particular, TEDH, sentencias antes citadas Amann C. Suiza, 65, Rotaru C. Rumania, 43)”. Finalmente, debe resaltarse que el origen en fuentes de acceso público o no de la información resulta irrelevante a los efectos de satisfacer el derecho del afectado para que se cese el tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 NOVENO: En el supuesto aquí analizado, queda acreditado que el reclamante ejercitó su derecho de cancelación ante la entidad reclamada, y que, trascurrido el plazo establecido conforme a las normas antes señaladas, su solicitud no obtuvo la respuesta legalmente exigible. No obstante, durante la tramitación del presente procedimiento MQM ha procedido a atender el derecho de cancelación ejercitado y a comunicárselo al reclamante. Es decir, la entidad reclamada ha atendido el derecho de cancelación solicitado fuera del plazo legalmente establecido. En cuanto a la solicitud de acceso a “la identidad concreta de la persona que emite la valoración de mi supuesto comportamiento” se ha de señalar que el artículo 15.1 de la LOPD dispone que “El interesado tendrá derecho a solicitar y obtener gratuitamente información de sus datos de carácter personal sometidos a tratamiento...”. El reclamante solicita unos datos que no son relativos a su persona sino a un tercero, por lo tanto, dicha solicitud no se puede realizar en base a la LOPD. En definitiva, la Agencia Española de Protección de Datos no es competente para atender una reclamación de esa naturaleza. En consecuencia, procede estimar, por motivos formales, la presente reclamación de tutela de derechos en lo referente a la solicitud de cancelación y desestimar en cuanto a la solicitud de acceso a la identidad de la persona que realizó la valoración o comentario en la web de la entidad reclamada. El resto de las cuestiones planteadas por las partes, no resultan de la competencia de esta Agencia, debiéndose dirimir y resolver por las instancias correspondientes. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR, por motivos formales, la reclamación de cancelación formulada por D. A.A.A. contra la entidad MQM TU SALUD A UN CLIC, S.L. No obstante, no procede la emisión de nueva certificación por parte de dicha entidad, al haber quedado acreditado que ha cancelado los datos del reclamante durante la tramitación del procedimiento. SEGUNDO: DESESTIMAR, la reclamación formulada por D. A.A.A. contra MQM TU SALUD A UN CLIC, S.L. en relación a la solicitud de acceso a la identidad de la persona que efectuó una valoración o comentario sobre la profesionalidad del reclamante en la web de la entidad reclamada. TERCERO: NOTIFICAR la presente resolución a la entidad MQM TU SALUD A UN CLIC, S.L. y a D. A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 18.4 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez. Director de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es