1/7 Expediente Nº: TD/01954/2017 RESOLUCIÓN Nº.: R/00089/2018 Vista la reclamación formulada el 8 de agosto de 2017 ante esta Agencia por D. E.E.E. contra UNIVERSIDAD POLITÉCNICA DE VALENCIA por no haber sido debidamente atendido su derecho de cancelación. Realizadas las actuaciones procedimentales previstas en el artículo 117 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre (en lo sucesivo, RLOPD), se han constatado los siguientes HECHOS PRIMERO: Con fecha 24 de abril de 2017 D. E.E.E. (en lo sucesivo, el reclamante) presentó ante la UNIVERSIDAD POLITÉCNICA DE VALENCIA (en lo sucesivo, la Universidad) un escrito en el que indica que al introducir su nombre y apellidos en el buscador Google aparecen sus datos publicados en documentos de la Universidad, e indica que “Deben cancelarse los documentos colgados en las citadas páginas web porque son obsoletos ya que hacen referencia a cursos anteriores a 2014. (…)” Las URLs son las siguientes: 1. 2. 3. 4. A.A.A. D.D.D. C.C.C. B.B.B. Dicha solicitud de cancelación se presentó a través del Buzón de Quejas y Sugerencias de la intranet de la Universidad, a la que el reclamante tiene acceso como antiguo alumno, ya que “(…) La sede electrónica da múltiples fallos con los certificados de la Agencia de Tecnología y Certificación Electrónica de la Generalitat Valenciana; de hecho en numerosas ocasiones he contactado con el servicio de informática (…)” y le contestaron que desde mayo de 2017 no funciona el registro telemático. La Universidad le contestó que “1. Según lo establecido en el artículo 13.1 del Reglamento sobre Protección de Datos de Carácter Personal de la Universitat Politècnica de Valéncia (Aprobado por el Consejo de Gobierno en su sesión de 11 de marzo de 2010) Los derechos de acceso, rectificación y cancelación se ejercerán mediante escrito dirigido al Sr. Secretario General de la Universidad Politécnica de Valencia, a través del Registro General de la Universidad. Dicha solicitud deberá ir acompañada además de fotocopia del Documento Nacional de Identidad. Pudiendo si lo desea presentar dicha solicitud en el Registro Electrónico de la Universitat Politècnica de València, firmándola electrónicamente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 2. El Buzón de Quejas y Sugerencias de la Universitat Politècnica de València no es el medio adecuado para realizar la solicitudes de acceso, cancelación o rectificación de datos personales por carecer de medios de registro fehaciente de las solicitudes presentadas, reservándose a los Registros de la Universitat la recepción de dichas solicitudes.” SEGUNDO: Con fecha 08 de agosto de 2017 tuvo entrada en esta Agencia reclamación contra la Universidad por no haber sido debidamente atendido su derecho de cancelación. El reclamante señala que “(…) entiendo que la Universidad Politécnica de Valencia no atiende mi solicitud de cancelación porque considera que no reúne los requisitos para ser tramitada.” TERCERO: Trasladadas sucesivamente la reclamación y los escritos de descargos que se produjeron en la tramitación del presente expediente, y por lo que a efectos de la resolución de la presente reclamación interesa, se realizaron, en síntesis, las siguientes alegaciones: La Universidad señaló que, una vez recibida la solicitud del reclamante a través del Buzón de Quejas y Sugerencias, desde este Buzón le contestó, tal como el interesado ha manifestado, indicándole que dicho Buzón no es el medio adecuado para realizar los ejercicios de los diversos derechos, y le informaba dónde debía dirigirse para ejercitar su derecho. Además, con fecha 28 de abril de 2017 la Universidad remitió al interesado un escrito en el que le comunicaban que su solicitud no reunía los requisitos establecidos en el artículo 66.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), indicándole que, una vez comprobado el documento adjunto a la queja presentada “(…) no ha sido posible verificar la existencia de firma manuscrita del mismo. Toda vez que el documento electrónico presentado no incluía tampoco firma electrónica alguna que acredite la identidad de D. E.E.E., tal y como exige el artículo 10.2 de la Ley 39/2015 (…)” y se le indicaba que era necesario, en su calidad de interesado, que firmase su petición a través de los medios reconocidos por la legislación vigente. La Universidad señala que “(…) realizó dos intentos de notificación del escrito de 28 de abril de 2017 al Sr. E.E.E. en el domicilio indicado por éste a efectos de notificación en su queja. Tal y como extiende el comprobante de la Entidad Pública de Correos, fechando el primer intento en fecha 5 de mayo de 2017 y dejándole aviso de llegada en su buzón, sin que dicho escrito fuese retirado por el Sr. E.E.E., remitiéndose éste de nuevo a la Universidad Politécnica en fecha 22 de mayo de 2016. Se adjunta este comprobante en el documento 2. Que tras los dos intentos de notificación se procedió a su publicación por edictos en el Boletín Oficial del Estado de fecha 8 de junio de 2017. Se adjunta copia de los edictos y su publicación en el documento 3.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 La Universidad señala que para acceder al sistema de Quejas y Sugerencias, como usuario alumno, es necesario identificarse a través de la intranet, y que contrariamente a lo declarado por el reclamante, “(…) dicho acceso no es exclusivo para los usuarios de certificados electrónicos, permitiéndose la identificación del usuario mediante sistema de clave concertada, siendo este último el utilizado por aquel para realizar la queja de fecha 24 de abril de 2017.” El reclamante indica que no es cierto que utilizara un sistema de clave concertada para identificarse. “Como ya expresé en mi solicitud, por problemas técnicos no puedo utilizar la firma digital para tramitar algunos procedimientos en la sede electrónica, pero sí la puedo usar para identificarme en dicha sede o en la intranet y usar otros servicios como el de Quejas. Ante la duda, y como prueba, adjunto (anexo 1) pantallazos para demostrar que utilicé la firma digital como forma de identificación en la intranet y en el servicio de quejas. (…).” El reclamante señala que, dado que ha utilizado la firma electrónica para identificarse en el Servicio de Quejas y en la intranet de la Universidad, queda acreditada su identificación, y que, según el artículo 24 del Reglamento de desarrollo de la Ley 15/1999, ha quedado acreditado el envío y la recepción por la Universidad. Asimismo, señala que con la utilización de la firma digital para acceder al Servicio de Quejas y Sugerencia queda acreditada su voluntad de ejercitar el derecho de cancelación. “Al ser una solicitud telemática resulta imposible que pueda plasmar mi firma manuscrita, (…)” La Universidad se reitera en sus alegaciones e indica “(…) que las capturas del intento de acceso identificado a la intranet de la Univesitat Politécnica de Valencia aportadas por el señor E.E.E. no se hayan fechadas, sin que exista prueba alguna de que dicho intento de acceso se realizase el día 24 de abril de 2017, fuese exitoso o que tuviese por objeto acceder al Buzón de Quejas y Sugerencias con el propósito de enviar el escrito de finalmente se recibió en esa fecha por parte del Servicio de Evaluación, Planificación y Calidad de la Universitat. Toda vez que de corresponder dichas capturas a un acceso a través de certificado digital realizado en las fechas de presentación de su queda a través del Buzón de Quejas y Sugerencias, éstas hubiesen sido del todo innecesarias, puesto que los datos identificativos de su firma electrónica se habrían incorporado al documento electrónico final, hecho éste que no sucedió, (…)” FUNDAMENTOS DE DERECHO PRIMERO: Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 Datos de Carácter Personal (en lo sucesivo LOPD). SEGUNDO: El artículo 18.1 de la LOPD señala que: “Las actuaciones contrarias a lo dispuesto en la presente Ley pueden ser objeto de reclamación por los afectados ante la Agencia Española de Protección de Datos, en la forma que reglamentariamente se determine”. TERCERO: El artículo 16 de la LOPD dispone que: “1. El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días. 2. Serán rectificados o cancelados, en su caso, los datos de carácter personal cuyo tratamiento no se ajuste a lo dispuesto en la presente Ley y, en particular, cuando tales datos resulten inexactos o incompletos. 3. La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión. 4. Si los datos rectificados o cancelados hubieran sido comunicados previamente, el responsable del tratamiento deberá notificar la rectificación o cancelación efectuada a quien se hayan comunicado, en el caso de que se mantenga el tratamiento por este último, que deberá también proceder a la cancelación. 5. Los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado.” CUARTO: El artículo 32.2 y 3 del RLOPD determina: “2. El responsable del fichero resolverá sobre la solicitud de rectificación o cancelación en el plazo máximo de diez días a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre. En el caso de que no disponga de datos de carácter personal del afectado deberá igualmente comunicárselo en el mismo plazo. 3. Si los datos rectificados o cancelados hubieran sido cedidos previamente, el responsable del fichero deberá comunicar la rectificación o cancelación efectuada al cesionario, en idéntico plazo, para que éste, también en el plazo de diez días contados desde la recepción de dicha comunicación, proceda, asimismo, a rectificar o cancelar los datos. La rectificación o cancelación efectuada por el cesionario no requerirá comunicación alguna al interesado, sin perjuicio del ejercicio de los derechos por parte C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 de los interesados reconocidos en la Ley Orgánica 15/1999, de 13 de diciembre.” QUINTO: El artículo 25 del RLOPD determina: “1. Salvo en el supuesto referido en el párrafo 4 del artículo anterior, el ejercicio de los derechos deberá llevarse a cabo mediante comunicación dirigida al responsable del fichero, que contendrá:
- a)Nombre y apellidos del interesado; fotocopia de su documento nacional de identidad, o de su pasaporte u otro documento válido que lo identifique y, en su caso, de la persona que lo represente, o instrumentos electrónicos equivalentes; así como el documento o instrumento electrónico acreditativo de tal representación. La utilización de firma electrónica identificativa del afectado eximirá de la presentación de las fotocopias del DNI o documento equivalente. El párrafo anterior se entenderá sin perjuicio de la normativa específica aplicable a la comprobación de datos de identidad por las Administraciones Públicas en los procedimientos administrativos.
- b)Petición en que se concreta la solicitud.
- c)Dirección a efectos de notificaciones, fecha y firma del solicitante.
- d)Documentos acreditativos de la petición que formula, en su caso. 2. El responsable del tratamiento deberá contestar la solicitud que se le dirija en todo caso, con independencia de que figuren o no datos personales del afectado en sus ficheros. 3. En el caso de que la solicitud no reúna los requisitos especificados en el apartado primero, el responsable del fichero deberá solicitar la subsanación de los mismos. 4. La respuesta deberá ser conforme con los requisitos previstos para cada caso en el presente título. 5. Corresponderá al responsable del tratamiento la prueba del cumplimiento del deber de respuesta al que se refiere el apartado 2, debiendo conservar la acreditación del cumplimiento del mencionado deber…” SEXTO: El procedimiento de Tutela de Derechos se instruye como consecuencia de la denegación de alguno de los derechos regulados en la normativa de protección de datos (acceso, rectificación, cancelación y oposición). Por lo tanto, sólo se analizarán y valorarán las circunstancias relativas a dichos derechos, no siendo competencia de esta Agencia las posibles incidencias en cuanto al acceso a la sede electrónica de la Universidad. En el supuesto aquí analizado, y teniendo en cuenta lo dispuesto en el párrafo anterior, , ha quedado acreditado que el reclamante presentó un escrito a través del Buzón de Quejas y Sugerencia de la Universidad indicando que, al introducir su nombre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 y apellidos en el buscador Google aparecen sus datos publicados en documentos de la Universidad, y solicita que “Deben cancelarse los documentos colgados en las citadas páginas web porque son obsoletos ya que hacen referencia a cursos anteriores a 2014. (…)” en las siguientes URLs: 1. 2. 3. 4. A.A.A. D.D.D. C.C.C. B.B.B. Examinada dicha solicitud se observa que la pretensión del reclamante es que se retiren varios documentos publicados por la Universidad. La cancelación regulada en la normativa de datos es, según la definición del artículo 5.1.
- b)del RLOPD, el “procedimiento en virtud del cual el responsable cesa en el uso de los datos. La cancelación implicará el bloqueo de los datos, consistente en la identificación y reserva de los mismos con el fin de impedir su tratamiento excepto para su puesta a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento y sólo durante el plazo de prescripción de dichas responsabilidades. Transcurrido ese plazo, deberá procederse a la supresión de los datos”. Por lo tanto, esa pretensión no puede ser aceptada como un derecho de cancelación según la normativa de protección de datos. La Universidad, en caso de que procediese la cancelación de los datos del reclamante publicados en esas URLs, podría optar por retirarlas si la publicación de la información que se contiene ha dejado de ser necesaria para los fines para los que se publicó, o, en caso de no retirar dichas URLs por implementar las medidas técnicas necesarias para que sus datos no fuesen indexados. En consecuencia, procede desestimar la presente reclamación de Tutela de Derechos. El reclamante tiene la posibilidad, si a su derecho conviene, de ejercitar el derecho de cancelación de sus datos personales ante el responsable del fichero cumpliendo los requisitos establecidos para ello y, si no obtiene respuesta o ésta es insatisfactoria, puede presentar ante esta Agencia reclamación por denegación de su derecho, aportando la documentación justificativa, sin que se prejuzgue el resultado de la resolución. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR la reclamación formulada por UNIVERSIDAD POLITÉCNICA DE VALENCIA. SEGUNDO: NOTIFICAR la presente resolución a D. POLITÉCNICA DE VALENCIA. C/ Jorge Juan, 6 28001 – Madrid D. E.E.E. contra E.E.E. y a UNIVERSIDAD www.agpd.es sedeagpd.gob.es 7/7 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del RLOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 18.4 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos, en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la Disposición Adicional Cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción ContenciosoAdministrativa (en lo sucesivo, LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es