1/7 Expediente Nº: TD/01217/2018 RESOLUCIÓN Nº.: R/01690/2018 Vista la reclamación formulada el 11 de junio de 2018 ante esta Agencia por Dª A.A.A., contra GEDESCO SERVICES SPAIN S.A, por no haber sido debidamente atendido su derecho de cancelación. Realizadas las actuaciones procedimentales previstas en el artículo el artículo 7 del Real Decreto-ley 5/2018, de 27 de julio, de medidas urgentes para la adaptación del Derecho español a la normativa de la Unión Europea en materia de protección de datos (BOE de 30 de julio de 2018), se han constatado los siguientes HECHOS PRIMERO: Con fecha 10 de abril de 2018, Dª A.A.A. (en adelante, la parte reclamante) ejerció derecho de supresión a la información publicada en “www.infocif.es”. Señala que, el dato de un administrador cesado hace 4 años sin ningún tipo de vinculación con la entidad, es un dato desactualizado y ya no son necesarios en relación con los fines para los que fueron recogidos o tratados. SEGUNDO: GEDESCO SERVICES SPAIN S.A. (en adelante, GEDESCO), deniega motivadamente al señalar que, la información proviene de fuentes accesibles al público como es la publicación del Boletín Oficial del Registro Mercantil y que publica datos relativos a personas jurídicas o personas vinculadas a las mismas, como puedan ser los Administradores, pues la normativa mercantil exige que dichos datos, incluidos los de los Administradores de personas jurídicas, sean públicos. TERCERO: Trasladadas sucesivamente la reclamación y los escritos de descargos que se produjeron en la tramitación del presente expediente, y por lo que a efectos de la resolución de la presente reclamación interesa, se realizaron, en síntesis, las siguientes alegaciones: El representante de GEDESCO manifiesta en las alegaciones formuladas durante la tramitación del presente procedimiento, que dentro del plazo legalmente establecido, se contestó en cumplimiento de la normativa que rige la materia de protección de datos y la actual legislación permite publicar datos provenientes de fuentes públicas en su página web sin la necesidad de obtener el consentimiento previo de la parte reclamante en base al interés legítimo que ostenta al tratarse de un dato más del conjunto total de la información empresarial que Inforiesgos ofrece y que forman parte de su actividad profesional. Los datos publicados constituyen información pública veraz y actualizada a fecha 19 de mayo de 2014, y en ningún caso pertenece C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 a la esfera personal, íntima ni familiar de la interesada ni son datos considerados sensibles. Que no se vende la información que publica en su página web y la misma procede íntegramente del Boletín Oficial del Registro Mercantil (BORME) y sin que sea objeto de alteración alguna y cualquier persona física o jurídica puede acceder gratuitamente. Los datos referidos por la parte reclamante están excluidos de la aplicación de la normativa de protección de datos de carácter personal, por lo que no sería aplicable en el presente caso, en la medida que se trata de información incorporada a un fichero que se limita a publicar los datos de una persona jurídica y de una persona física que presta sus servicios en otra persona jurídica dentro de los límites del citado precepto. Refuerza sus alegaciones con una serie de procedimientos que fueron resueltos por esta Agencia La parte reclamante señala que, este caso es distinto, ya que, se ha ejercitado el derecho de supresión, basado en que puede causar un perjuicio al derecho fundamental a la protección de datos, por estar basado el tratamiento en una información obsoleta de una relación con una empresa. Es razonable que se publiquen el cese de administrador, hasta que un exadministrador, cesado y desvinculado, reclamen que la información es obsoleta y ejerza su derecho de supresión y su nombre pueda ser sustituido por cualquier herramienta de anomimización y el Registro Mercantil siempre tendrá los datos históricos a disposición de cualquier solicitante y con ello estará garantizada la seguridad jurídica. ü Las alegaciones presentadas ante esta Agencia por la parte reclamante, son objeto de traslado al responsable del tratamiento, para que, en el plazo de quince días hábiles formule alegaciones que considere oportunas, cuyo plazo finalizó sin recibir respuesta. TERCERO: Son conocidos por las partes de forma completa todos los hechos, alegaciones y demás documentación aportada por los interesados para su defensa, al haberse dado traslado por la instrucción del expediente a cada uno de los interesados en este procedimiento y constado todo ello en el expediente que obra en esta Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 FUNDAMENTOS DE DERECHO PRIMERO: Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el apartado 2 del artículo 56 en relación con el apartado 1
- f)del artículo 57, ambos del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD) SEGUNDO: El apartado 1 del artículo 8 del Real Decreto-ley 5/2018, dispone: “1. Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo siguiente. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación.” TERCERO: El artículo 1 del RGPD dispone que: “1. El presente Reglamento establece las normas relativas a la protección de las personas físicas en lo que respecta al tratamiento de los datos personales y las normas relativas a la libre circulación de tales datos. 2. El presente Reglamento protege los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales. 3. La libre circulación de los datos personales en la Unión no podrá ser restringida ni prohibida por motivos relacionados con la protección de las personas físicas en lo que respecta al tratamiento de datos personales.” CUARTO: El artículo 17 del RGPD dispone que: “1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
- a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo; C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7
- b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
- c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
- d)los datos personales hayan sido tratados ilícitamente;
- e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
- f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. 2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos. 3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
- a)para ejercer el derecho a la libertad de expresión e información;
- b)para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
- c)por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras
- h)e i), y apartado 3;
- d)con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o
- e)para la formulación, el ejercicio o la defensa de reclamaciones.” QUINTO: En el supuesto aquí analizado, queda acreditado que la parte reclamante ejercitó su derecho de supresión ante la entidad demandada, y que, dentro del plazo establecido conforme a las normas antes señaladas, dicha entidad contestó la solicitud de supresión denegando dicho derecho basándose en que los datos contenidos en los ficheros de la entidad se recogen de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 publicaciones del Boletín Oficial del Registro Mercantil, por lo que, su solicitud obtuvo la respuesta legalmente exigible. «Sobre esta cuestión del ámbito de aplicación de la LOPD ha señalado esta Sala, véase SAN, Sec. 1ª, de 14 de febrero de 2007 (Rec. 186/2005) que “Si cualquier persona física tiene derecho a la protección de los datos personales, no parece que puedan ser excluidos de tal protección los datos personales de todas aquellas personas física que, obviamente conservando tal condición, también tengan la condición de profesionales, pues la adición de esta circunstancia no les priva de sus derechos como ciudadanos, salvo que estos profesionales organicen su actividad bajo fórmulas mercantiles y que se acredite que los datos eran ajenos a su esfera privada y ostentaban una clara vinculación con la actividad mercantil”. En esta línea en la SAN, Sec. 1ª, de 8 de mayo 2009 (Rec. 514/2007) nos pronunciamos sobre la no aplicabilidad de la LOPD a un supuesto en que se identificaba el nombre de una persona con el de sus sociedades y se refería a deudas de las citadas sociedades vinculadas a dicha persona. Criterio que ha sido reiterado posteriormente en la SAN, Sec. 1ª, de 16 de julio 2009 (Rec. 504/2008)» El artículo 1 del RGPD establece que dicho reglamento será aplicable a los tratamientos de datos referidos a personas físicas. En relación con esta cuestión conviene tener en cuenta lo dispuesto en los artículos 225, 226, 236 y 241 de la Ley de Sociedades de Capital (LSC), aprobado por Real Decreto Legislativo 1/2010, de 2 de julio. El citado artículo 225, relativo al deber de diligencia, dispone lo siguiente: “1. Los administradores desempeñarán su cargo con la diligencia de un ordenado empresario. 2. Cada uno de los administradores deberá informarse diligentemente de la marcha de la sociedad”. El mencionado artículo 226, relativo al deber de lealtad, establece que: “Los administradores desempeñarán su cargo como un representante leal en defensa del interés social, entendido como interés de la sociedad, y cumplirán los deberes impuestos por las leyes y los estatutos”. Los apartados 1 y 2 del artículo 236, en lo relativo a la responsabilidad de los administradores, establecen que: “1. Los administradores responderán frente a la sociedad, frente a los socios y frente a los acreedores sociales, del daño que causen por actos u omisiones contrarios a la ley o a los estatutos o por los realizados incumpliendo los deberes inherentes al desempeño del cargo, siempre y cuando haya intervenido dolo o culpa. La culpabilidad se presumirá, salvo prueba en contrario, cuando el acto sea contrario a la ley o a los estatutos sociales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 2. En ningún caso exonerará de responsabilidad la circunstancia de que el acto o acuerdo lesivo haya sido adoptado, autorizado o ratificado por la junta general.” Por último, el artículo 241 bis de la citada LSC, en cuanto a la prescripción de las acciones de responsabilidad, establece que: “La acción de responsabilidad contra los administradores, sea social o individual, prescribirá a los cuatro años a contar desde el día en que hubiera podido ejercitarse”. Teniendo en cuenta lo previsto en la reseñada normativa de la LSC y que los datos de carácter personal de los cargos de administración cesados proceden del BORME, esta Agencia entiende que el tratamiento realizado en este fichero únicamente resulta pertinente y no excesivo cuando se circunscriba a los cargos cesados susceptibles de exigírseles responsabilidades dimanantes del ejercicio de sus puestos de administración o gobierno empresarial, y siempre y cuando no se trate de datos que hagan referencia a una información prescrita u obsoleta a los posibles efectos jurídicos pretendidos. No habiendo aportado la reclamante prueba documental alguna en dicho sentido. En definitiva, pues, tanto las personas jurídicas como los profesionales que presten sus servicios en aquéllas quedan fuera del ámbito competencia del RGPD. Para finalizar, si la parte reclamante entiende que se está vulnerando su derecho al honor y a la propia imagen, el cauce adecuado no se encuentra en la normativa de protección de datos de carácter personal, sino, en su caso, en la Ley Orgánica 1/1982, de Protección Civil del Derecho al Honor, a la Intimidad Personal y Familiar y a la Propia Imagen. No es la Agencia el órgano competente para la tutela del derecho supuestamente lesionado, por lo que deberá dirimirse y resolverse por las instancias correspondientes. En este sentido hay que tener en cuenta lo dispuesto en la Sentencia de la Audiencia Nacional de 24 de febrero de 2011, en cuyo fundamento jurídico tercero se expone: «En este caso es necesario comenzar desvinculando la materia de protección de datos de la relativa al derecho al honor y ello pues para la protección de este derecho existe un procedimiento específico de reclamación previsto en la Ley Orgánica 1/1982 de Protección Civil del Derecho al Honor, a la Intimidad Personal y Familiar y a la Propia Imagen cuyo artículo 1 establece que "El derecho fundamental al honor, a la intimidad personal y familiar y a la propia imagen, garantizado en el artículo 18 CE, será protegido civilmente frente a todo género de intromisiones ilegítimas, de acuerdo con lo establecido en la presente ley orgánica". La LOPD se aplica en los supuestos en los que se hace necesario someter a determinados controles el empleo de los datos personales para evitar usos inconsentidos, excesivos o destinados a fines contrarios a los recogidos o el tratamiento de los datos sin la información precisa etc. Todo esto se protege en un ámbito jurídico que es diferente a la divulgación de informaciones atentatorias a determinados derechos fundamentales como son el honor ó el derecho a la propia imagen. La separación de ambos sistemas de protección se aprecia, también, por el hecho de que los preceptos que se aplican en ambos casos son diferentes y, además, los procedimientos previstos para la reacción ante la violación de uno y otro ámbito del ordenamiento jurídico también son diferentes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 En aquellos supuestos en los que se produce una colisión entre el derecho a la protección de datos y el derecho a la libertad de información contenido en el artículo 20 de la Constitución la prevalencia de la libertad de información resulta evidente siempre que se cumplan los requisitos de veracidad y relevancia pública que exige la jurisprudencia del Tribunal Constitucional según una jurisprudencia muy uniforme cuyos principios básicos se recogen en la STC 53/2006.» Por todo ello procede desestimar la reclamación que originó el presente procedimiento de tutela de derechos. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR la reclamación formulada por Dª A.A.A. frente a GEDESCO SERVICES SPAIN S.A. SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A. y a GEDESCO SERVICES SPAIN S.A. Contra esta resolución, que pone fin a la vía administrativa (artículo 18.4 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos, en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la Disposición Adicional Cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es