TD-01816-2015

1/7 Expediente Nº: TD/01816/2015 RESOLUCIÓN Nº: R/00693/2016 Vista la reclamación formulada el 27 de octubre de 2015 ante esta Agencia por D. A.A.A. contra ARVATO SERVICES IBERIA, S.A. por no haber sido debidamente atendido su derecho de acceso. Realizadas las actuaciones procedimentales previstas en el artículo 117 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre (en lo sucesivo, RLOPD), se han constatado los siguientes HECHOS PRIMERO: Con fecha 18 de septiembre de 2015 D. A.A.A. (en lo sucesivo, el reclamante) remitió un escrito a ARVATO SERVICES IBERIA, S.A. (en lo sucesivo, Arvato) solicitando que se le informe de: - “Los datos de carácter personal y relativos a la persona de Don (…) que están siendo objeto de tratamiento, en especial el relativo a su número de teléfono (…) - El origen de dichos datos de carácter personal y para qué se están utilizando. - Si esos datos han sido facilitados a terceras entidades.” SEGUNDO: Arvato, con fecha 22 de septiembre, le contestó indicándole que los datos de que disponían se limitan a su nombre y apellidos, su domicilio y teléfono. “Dichos datos, incluidos en nuestro fichero BDT, proceden de la información existente en los directorios de abonados de servicios telefónicos. Estos directorios son fuentes públicas de información accesibles a través de la dirección de internet http:///www.guiasblancas.com los cuales, conforme se establece en la vigente Ley Orgánica (…) tienen el carácter de fuentes accesibles al público. Asimismo, le informamos que los usos y finalidades para los que fueron almacenados dichos datos obedecieron a su utilización en la realización de campañas de publicidad y marketing directo, actividad principal y propia de esta empresa. Estas campañas de publicidad no implican cesión alguna de datos, sino la realización de tratamientos para acciones publicitarias conforme al art. 30 de la Ley Orgánica 15/1999 (…)” Le indican que puede ejercitar sus derechos de cancelación, oposición o rectificación. TERCERO: Con fecha 27 de octubre de 2015 tuvo entrada en esta Agencia reclamación contra Arvato por no haber sido debidamente atendido su derecho de acceso, indicando C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 que la dirección web mencionada por la entidad no existe, y que, además, “(…) desconozco a qué empresas les han facilitado mis datos para que realicen campañas de marketing y publicidad directa.” CUARTO: Trasladadas sucesivamente la reclamación y los escritos de descargos que se produjeron en la tramitación del presente expediente, y por lo que a efectos de la resolución de la presente reclamación interesa, se realizaron, en síntesis, las siguientes alegaciones:  Arvato señaló que es una empresa que se dedica al tratamiento informático de bases de datos, a la recopilación de direcciones, prospección comercial, publicidad directa y otras actividades análogas. En ese contexto, la entidad dispone de la titularidad de un fichero que contiene datos personales y cuya información ha sido obtenida de fuentes accesibles al público. Arvato manifiesta que es miembro de pleno derecho de la Asociación Española de Economía Digital (ADIGITAL) y en consecuencia, está autorizada a utilizar el “Servicio de Lista Robinson” de la mencionada Asociación. La entidad aporta copia del escrito que remitió al reclamante atendiendo su solicitud de acceso a sus datos. No obstante, al tener conocimiento del presente procedimiento, le ha enviado un nuevo escrito facilitándole mayores explicaciones del origen, fecha de captación de los datos y eventuales cesionarios de los mismos. En este escrito le especifican que la página web de la que obtuvieron sus datos (http://www.guiasblancas.com) está gestionada por Central de Recursos en Internet, S.L.U., y que esta último entidad se dedica a la elaboración de páginas web, servicios de internet y difusión publicitaria y está autorizada para la prestación del servicio de guía telefónica en formato electrónico de ámbito nacional y que está inscrita en el Registro Especial de Titularidades de autorizaciones Generales, y que para la prestación de este servicio de comunicación electrónica la Comisión del Mercado de Telecomunicaciones suministra a Central de Recursos en Internet los datos de los abonados previstos en la Orden CTE/711/2002, de 26 de marzo, que le son proporcionados por las operadoras de telefonía. Arvato señala que los datos del reclamante continúan constando en la actualidad en la referida página web y que el interesado puede ejercitar sus derechos de oposición o cancelación. Los datos incluidos en el fichero BDT de Arvato son periódicamente actualizados y se almacenan para la realización de campañas de publicidad y marketing directo. Estas campañas de publicidad no implican cesión o comunicación alguna de datos a terceros, sino la realización de tratamientos para acciones publicitarias. La entidad señala que “(…) los datos del Sr. (…) fueron bloqueados en el fichero BDT de Arvato cuando éste solicitó su derecho de acceso, en fecha 18 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 de septiembre de 2015”.  El reclamante señala que de las manifestaciones realizadas por Arvato se debe concluir que esta entidad adopta la posición de responsable del fichero y que, por tanto, debe respetar los principios de la LOPD. Por ello, analiza y desarrolla si sus datos personales en la página web www.guiasblancas.com pueden ser considerados incluidos en una fuente accesible al público, para lo que dicha página web debería cumplir los requisitos establecidos en la normativa de telecomunicaciones. Manifiesta que, varios años después de contratar los servicios de telefonía con ONO, solicitó a esta entidad la oposición a que sus datos personales fueses incluidos en guías telefónicas para fines comerciales y su no consentimiento para el uso por la entidad para fines comerciales y la no cesión de sus datos a las empresas del grupo ONO, y que dicha solicitud de oposición fue debidamente atendida, dejando de constar sus datos como abonado en varias páginas web, por lo que “(…) Central de Recursos debió actualizar en abril de 2015 la información correspondiente a sus datos personales”. En consecuencia, el reclamante señala que, dado que sus datos no deberían figurar en la página web www.guiasblancas.com, no debería considerarse que los mismos se han obtenido de fuentes accesibles al público. El reclamante señala que, dado que Arvato no tuvo la cautela y diligencia exigible de asegurarse de que los datos de dicha página web estuviesen actualizados, “(…) procede convertir este procedimiento de Tutela de Derechos en un Procedimiento Sancionador contra Arvato y Central de Recursos (…)”.  Arvato manifiesta que “(…) actuando con absoluta buena fe y tras las comprobaciones oportunas sobre las correspondientes autorizaciones de la Sociedad Central de Recursos en Internet, S.L.U. para el acceso y transmisión de datos de guías telefónicas de abonado, procedió a la extracción de los datos del Sr. (…) que constaban en la referida página web consistentes en nombre, domicilio y teléfono, para su uso en actividades de prospección comercial. Arvato cumplió, además, con la obligación que impone el apartado 4 del artículo 49 del RLOPD, cruzando el fichero extraído con el fichero Lista Robinson, gestionado por ADIGITAL, para evitar el envío de comunicaciones comerciales a los interesados que hubiesen manifestando su negativa u oposición a recibir publicidad. Señalar al efecto que el denunciante figuraba dado de alta en dicho servicio pero con otro número de teléfono. (…) Si, como denuncia el Sr. (…) en su escrito, la Sociedad Central de Recursos en Internet, S.L.U. no respetó las normas aplicables a los operadores de comunicaciones electrónicas y entidades habilitadas, es algo que Arvato no podía conocer ningún modo, por lo que no pueden atribuírsele sus C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 responsabilidades como pretende el Sr. (…)” FUNDAMENTOS DE DERECHO PRIMERO: Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo, LOPD). SEGUNDO: El artículo 18.1 de la LOPD señala que: “Las actuaciones contrarias a lo dispuesto en la presente Ley pueden ser objeto de reclamación por los afectados ante la Agencia Española de Protección de Datos, en la forma que reglamentariamente se determine”. TERCERO: El artículo 15 de la LOPD dispone que “1. El interesado tendrá derecho a solicitar y obtener gratuitamente información de sus datos de carácter personal sometidos a tratamiento, el origen de dichos datos, así como las comunicaciones realizadas o que se prevén hacer de los mismos. 2. La información podrá obtenerse mediante la mera consulta de los datos por medio de su visualización, o la indicación de los datos que son objeto de tratamiento mediante escrito, copia, telecopia o fotocopia, certificada o no, en forma legible e inteligible, sin utilizar claves o códigos que requieran el uso de dispositivos mecánicos específicos. 3. El derecho de acceso a que se refiere este artículo sólo podrá ser ejercitado a intervalos no inferiores a doce meses, salvo que el interesado acredite un interés legítimo al efecto, en cuyo caso podrán ejercitarlo antes.” CUARTO: El artículo 27 del RLOPD regula el derecho de acceso en los siguientes términos: "1. El derecho de acceso es el derecho del afectado a obtener información sobre si sus propios datos de carácter personal están siendo objeto de tratamiento, la finalidad del tratamiento que, en su caso, se está realizando, así como la información disponible sobre el origen de dichos datos y las comunicaciones realizadas o previstas de los mismos. 2. En virtud del derecho de acceso el afectado podrá obtener del responsable del tratamiento información relativa a datos concretos, a datos incluidos en un determinado fichero, o a la totalidad de sus datos sometidos a tratamiento. No obstante, cuando razones de especial complejidad lo justifiquen, el responsable del fichero podrá solicitar del afectado la especificación de los ficheros respecto de los cuales quiera ejercitar el derecho de acceso, a cuyo efecto deberá facilitarle una realización una relación de todos ellos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 3. El derecho de acceso es independiente del que otorgan a los afectados las leyes especiales y en particular la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común." QUINTO: El artículo 25 del RLOPD determina: “1. Salvo en el supuesto referido en el párrafo 4 del artículo anterior, el ejercicio de los derechos deberá llevarse a cabo mediante comunicación dirigida al responsable del fichero, que contendrá:
2. a)Nombre y apellidos del interesado; fotocopia de su documento nacional de identidad, o de su pasaporte u otro documento válido que lo identifique y, en su caso, de la persona que lo represente, o instrumentos electrónicos equivalentes; así como el documento o instrumento electrónico acreditativo de tal representación. La utilización de firma electrónica identificativa del afectado eximirá de la presentación de las fotocopias del DNI o documento equivalente. El párrafo anterior se entenderá sin perjuicio de la normativa específica aplicable a la comprobación de datos de identidad por las Administraciones Públicas en los procedimientos administrativos.
3. b)Petición en que se concreta la solicitud.
4. c)Dirección a efectos de notificaciones, fecha y firma del solicitante.
5. d)Documentos acreditativos de la petición que formula, en su caso. 2. El responsable del tratamiento deberá contestar la solicitud que se le dirija en todo caso, con independencia de que figuren o no datos personales del afectado en sus ficheros. 3. En el caso de que la solicitud no reúna los requisitos especificados en el apartado primero, el responsable del fichero deberá solicitar la subsanación de los mismos. 4. La respuesta deberá ser conforme con los requisitos previstos para cada caso en el presente título. 5. Corresponderá al responsable del tratamiento la prueba del cumplimiento del deber de respuesta al que se refiere el apartado 2, debiendo conservar la acreditación del cumplimiento del mencionado deber…” SEXTO: El artículo 29 del RLOPD dispone lo siguiente: “1. El responsable del fichero resolverá sobre la solicitud de acceso en el plazo máximo de un mes a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición de acceso, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 En el caso de que no disponga de datos de carácter personal de los afectados deberá igualmente comunicárselo en el mismo plazo. 2. Si la solicitud fuera estimada y el responsable no acompañase a su comunicación la información a la que se refiere el artículo 27.1, el acceso se hará efectivo durante los diez días siguientes a dicha comunicación. 3. La información que se proporcione, cualquiera que sea el soporte en que fuere facilitada, se dará en forma legible e inteligible, sin utilizar claves o códigos que requieran el uso de dispositivos mecánicos específicos. Dicha información comprenderá todos los datos de base del afectado, los resultantes de cualquier elaboración o proceso informático, así como la información disponible sobre el origen de los datos, los cesionarios de los mismos y la especificación de los concretos usos y finalidades para los que se almacenaron los datos". SÉPTIMO: El art. 28.3 de la LOPD, datos incluidos en las fuentes de acceso público, dispone que: “3. Las fuentes de acceso público que se editen en forma de libro o algún otro soporte físico, perderán el carácter de fuentes accesible con la nueva edición que se publique. En el caso de que se obtenga telemáticamente una copia de la lista en formato electrónico, ésta perderá el carácter de fuente de acceso público en el plazo de un año, contado desde el momento de su obtención.” OCTAVO: En el supuesto aquí analizado, ha quedado acreditado que el reclamante ejercitó su derecho de acceso ante Arvato, y que esta entidad le facilitó los datos solicitados dentro del plazo legalmente establecido. Durante la tramitación del presente procedimiento, Arvato ha remitido un nuevo escrito al reclamante ampliándole la información facilitada indicando que los datos proceden de una página web gestionada por una entidad que está autorizada para la prestación del servicio de guía telefónica en formato electrónico de ámbito nacional. En consecuencia, procede inadmitir la presente reclamación de Tutela de Derechos. En cuanto a la petición que hace el reclamante en su escrito de alegaciones para que se instruya un procedimiento sancionador contra Arvato y contra Central de Recursos, hay que tener en cuenta lo dispuesto en el artículo 28.3 de la LOPD anteriormente transcrito, que establece el plazo de un año para que una lista en formato electrónico pierda el carácter de fuente de acceso público. La atención del derecho de oposición al tratamiento de sus datos que el reclamante solicitó a ONO se produjo en abril de 2015, por lo que aún no habría transcurrido el plazo anula establecido, no procediendo, por tanto, la apertura de procedimiento sancionador contra dichas entidades. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: INADMITIR la reclamación formulada por D. A.A.A. contra ARVATO SERVICES IBERIA, S.A.. SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A. y a ARVATO SERVICES IBERIA, S.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del RLOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 18.4 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es