TD-02515-2016

1/6 Expediente Nº: TD/02515/2016 RESOLUCIÓN Nº.: R/00456/2017 Vista la reclamación formulada el 14 de noviembre de 2016 ante esta Agencia por D. A.A.A. contra ASOCIACIÓN ESPAÑOLA DE LA ECONOMIA DIGITAL por no haber sido debidamente atendido su derecho de cancelación. HECHOS PRIMERO: Con fecha 12 de noviembre de 2016 D. A.A.A. (en lo sucesivo, el reclamante) remitió un correo electrónico a la ASOCIACIÓN ESPAÑOLA DE LA ECONOMIA DIGITAL (en lo sucesivo, adigital) solicitando la cancelación de sus datos personales. Desde adigital le contestaron indicando que consta registrado en el Servicio de la Lista Robinson de exclusión publicitaria, y que “(…) si desea darse de baja del servicio, debe realizarlo usted mismo entrando en www.listarobinson.es y dirigiéndose a “acceder” con su DNI y contraseña. (…)” SEGUNDO: Con fecha 14 de noviembre de 2016 tuvo entrada en esta Agencia reclamación contra adigital por no haber sido debidamente atendido el derecho de cancelación. TERCERO: Con fecha 16 de noviembre de 2016 el reclamante presentó ante esta Agencia un nuevo correo electrónico recibido de adigital en el que le informan que en su respuesta no se negaban a atender su derecho, sino que le manifestaban que podía hacerlo por sí mismo a través de la plataforma. “Entendemos, por sus comunicaciones y en especial, por su último mail, que desea que realicemos la cancelación manual de sus datos, por lo que hemos procedido a realizarla. Asimismo, a efectos de notificaciones, también recibirá en la cuenta de correo que tiene asociada al servicio de Lista Robinson información sobre la cancelación y, en consecuencia, la baja del servicio.” FUNDAMENTOS DE DERECHO PRIMERO: Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo, LOPD). SEGUNDO: El artículo 18.1 de la LOPD señala que: “Las actuaciones contrarias a lo dispuesto en la presente Ley pueden ser objeto de reclamación por los afectados ante la Agencia Española de Protección de Datos, en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 la forma que reglamentariamente se determine”. TERCERO: El artículo 16 de la LOPD dispone que “1. El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días. 2. Serán rectificados o cancelados, en su caso, los datos de carácter personal cuyo tratamiento no se ajuste a lo dispuesto en la presente Ley y, en particular, cuando tales datos resulten inexactos o incompletos. 3. La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión. 4. Si los datos rectificados o cancelados hubieran sido comunicados previamente, el responsable del tratamiento deberá notificar la rectificación o cancelación efectuada a quien se hayan comunicado, en el caso de que se mantenga el tratamiento por este último, que deberá también proceder a la cancelación. 5. Los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado.” CUARTO: El artículo 32.2 y 3 del Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007, de 21 de diciembre(en lo sucesivo, RLOPD), determina: “2. El responsable del fichero resolverá sobre la solicitud de rectificación o cancelación en el plazo máximo de diez días a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre. En el caso de que no disponga de datos de carácter personal del afectado deberá igualmente comunicárselo en el mismo plazo. 3. Si los datos rectificados o cancelados hubieran sido cedidos previamente, el responsable del fichero deberá comunicar la rectificación o cancelación efectuada al cesionario, en idéntico plazo, para que éste, también en el plazo de diez días contados desde la recepción de dicha comunicación, proceda, asimismo, a rectificar o cancelar los datos. La rectificación o cancelación efectuada por el cesionario no requerirá comunicación alguna al interesado, sin perjuicio del ejercicio de los derechos por parte de los interesados reconocidos en la Ley Orgánica 15/1999, de 13 de diciembre.” QUINTO: El artículo 25 del RLOPD determina que: “1. Salvo en el supuesto referido en el párrafo 4 del artículo anterior, el ejercicio C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 de los derechos deberá llevarse a cabo mediante comunicación dirigida al responsable del fichero, que contendrá:
2. a)Nombre y apellidos del interesado; fotocopia de su documento nacional de identidad, o de su pasaporte u otro documento válido que lo identifique y, en su caso, de la persona que lo represente, o instrumentos electrónicos equivalentes; así como el documento o instrumento electrónico acreditativo de tal representación. La utilización de firma electrónica identificativa del afectado eximirá de la presentación de las fotocopias del DNI o documento equivalente. El párrafo anterior se entenderá sin perjuicio de la normativa específica aplicable a la comprobación de datos de identidad por las Administraciones Públicas en los procedimientos administrativos.
3. b)Petición en que se concreta la solicitud.
4. c)Dirección a efectos de notificaciones, fecha y firma del solicitante.
5. d)Documentos acreditativos de la petición que formula, en su caso. 2. El responsable del tratamiento deberá contestar la solicitud que se le dirija en todo caso, con independencia de que figuren o no datos personales del afectado en sus ficheros. 3. En el caso de que la solicitud no reúna los requisitos especificados en el apartado primero, el responsable del fichero deberá solicitar la subsanación de los mismos. 4. La respuesta deberá ser conforme con los requisitos previstos para cada caso en el presente título. 5. Corresponderá al responsable del tratamiento la prueba del cumplimiento del deber de respuesta al que se refiere el apartado 2, debiendo conservar la acreditación del cumplimiento del mencionado deber…” SEXTO: En el supuesto aquí analizado, del examen de la documentación aportada, ha quedado acreditado que el reclamante solicitó la cancelación ante adigital y que esta entidad le contestó indicándole que si desea darse de baja del servicio, debe realizarlo él mismo entrando en www.listarobinson.es con su DNI y contraseña. No obstante lo anterior, adigital ha cancelado manualmente los datos del reclamante. En el presente caso, puede aplicarse, análogamente, lo establecido por el Tribunal Supremo en la Sentencia de 04/02/2011: «SEGUNDO. Los antecedentes expuestos son análogos a los contemplados por esta Sala en los recursos de casación nº 3371/2006, 5546/2006 y 145/07, en los que recayeron sentencias el 26 de enero, el 2 de julio y el 22 de octubre de 2010. El que ahora nos ocupa se fundamenta, al igual que los citados 3371/2006, 5546/06 y 145/07, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 en tres motivos sustancialmente iguales, por lo que por razones de seguridad jurídica y unidad de doctrina, hemos de remitirnos a lo ya dicho en aquellas sentencias, en cuyos fundamentos de derecho segundo a séptimo se expresó lo siguiente: "SEGUNDO. Se funda este recurso de casación en tres motivos. El motivo primero se formula con base en el art. 88.3 LJCA, <<por cuanto la sentencia de la instancia no declara como hecho probado el que la UNED cuenta con un sistema informático mediante el cual los alumnos pueden en todo momento ejercitar su derecho de acceso mediante la visualización en pantalla>>. Explica la recurrente que cada alumno dispone de su propia clave, mediante la cual puede consultar sus datos personales en la página web de la Universidad. El motivo segundo se basa en el art. 88.1.
6. d)LJCA. Se alega infracción del art. 70 LRJ-PAC, por entender que el escrito de don Manuel de 9 de febrero de 2004 no era una solicitud de acceso a los datos personales, sino una reclamación de responsabilidad patrimonial de la Administración; y, por tanto, de la tramitación dada a dicho escrito no se habría podido seguir una vulneración de la legislación de protección de datos. Añade que <<la denuncia del interesado aún admitiendo en términos meramente interlocutorios que pudiera considerarse que existió una solicitud de acceso a datos personales- carece de toda base o soporte legal, toda vez que los alumnos matriculados en la Universidad Nacional de Educación a Distancia tienen, en todo momento y como queda dicho en el motivo de casación anterior, la oportunidad de acceder a sus datos de carácter personal obrantes en los ficheros automatizados de la Universidad, con solo entrar en la página web de la misma 'ciberUNED' e introducir una clave o contraseña personal de acceso asignada a cada uno de ellos>>. El motivo tercero, en fin, también se basa en el art. 88.1.
7. d)LJCA. Se alega infracción del art. 15 LOPD, sosteniendo que el solicitante no tiene facultad de elegir el medio de acceso a los datos personales. TERCERO. El motivo primero no puede ser admitido, pues está incorrectamente formulado. El apartado tercero del art. 88 LJCA, en que se basa, no configura uno de los tipos de motivos tasados en que puede fundarse el recurso de casación, sino que otorga a esta Sala una facultad de integración de los hechos admitidos como probados por el tribunal a quo; y ello siempre que se trate de hechos suficientemente justificados en las actuaciones. Hay que tener en cuenta, además, que esta facultad sólo puede utilizarse cuando el recurso de casación se basa en un motivo de la letra
8. d)del art. 88.1 LJCA; es decir, por infracción de normas, no por quebrantamiento de formas u otros vicios procesales. Así las cosas, es incorrecto que la recurrente aduzca como un motivo de casación autónomo la circunstancia de que la sentencia impugnada no haga referencia expresa a que todo alumno de la UNED tiene posibilidad de acceso permanente a sus datos personales por vía informática. Tal vez hubiera podido argumentar, articulándolo al amparo del art. 88.1.
9. d)LJCA, que ello supone una valoración arbitraria o ilógica del material probatorio existente en las actuaciones; pero no es esto lo que ha hecho, por no mencionar que la sentencia impugnada tiene implícitamente presente dicha circunstancia cuando razona que la elección del medio de acceso a los datos personales corresponde al solicitante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 Dicho cuanto precede, una cosa es que el motivo primero de este recurso de casación esté incorrectamente formulado y no pueda ser admitido y otra cosa es que esta Sala, al examinar los otros dos motivos formulados por la recurrente, pueda hacer uso de la facultad que le reconoce el art. 88.3 LJCA. Se trata, como se ha dicho de motivos basados en la letra
10. d)del art. 88.1 LJCA y, además, la posibilidad de acceso permanente a los datos personales por parte de los alumnos de la UNED puede considerarse acreditada a la vista de las actuaciones remitidas a esta Sala. Es más: la propia resolución de la AEPD de 18 de octubre de 2004 reconoce este extremo, cuando afirma que la posibilidad de acceso permanente por vía informática no es suficiente para exonerar a la UNED de la imputación de no haber satisfecho la solicitud de acceso a los datos personales presentada por don Manuel. CUARTO. Por lo que se refiere al motivo segundo, ciertamente la recurrente no tiene razón en sostener que el escrito de don Manuel de 9 de febrero de 2004 no era una solicitud de acceso a sus datos personales, sino sólo una reclamación de responsabilidad patrimonial de la Administración. Son inequívocos los términos del apartado de dicho escrito, arriba reproducidos, en que el solicitante manifiesta su voluntad de ejercer el derecho de acceso a los datos personales. A ello hay que añadir que en un mismo escrito pueden recogerse solicitudes diversas, mereciendo todas ellas una cumplida respuesta de la Administración tal como ordena el art. 42 LRJ-PAC. Ello no significa, sin embargo, que este motivo segundo haya de ser rechazado, pues la recurrente alega también que, aun admitiendo que el mencionado escrito contuviese una solicitud de acceso a datos personales, ésta resultaba injustificada desde el momento en que el solicitante disponía ya de la posibilidad permanente de acceso a sus datos personales por vía informática. Dado que este hecho ha de tenerse por cierto, es claro que la solicitud de acceso a los datos personales recogida en el escrito de 9 de febrero de 2004 era reiterativa, cuando no meramente retórica; y, por esta misma razón, presentar una reclamación ante la AEPD por incumplimiento del deber de permitir el acceso a los datos personales supone, sin duda alguna, un comportamiento contrario a la buena fe. No es leal reprochar a otro no haber hecho algo que, en realidad, ya ha hecho. Y justificar esta imputación en la inobservancia de formas y plazos previstos en la ley no deja de ser un abuso de los requisitos formales, algo que ha sido tradicionalmente visto como uno de los supuestos arquetípicos de vulneración del principio general de la buena fe. Es más: no se trata sólo de que el solicitante dispusiera de la posibilidad permanente de acceso a sus datos personales por vía informática, sino que en su escrito de 9 de febrero de 2004 no especificó mediante qué concreto medio de acceso quería que su derecho fuese satisfecho; y, en estas circunstancias, afirmar que se le denegó el acceso en el plazo legalmente previsto resulta sencillamente una abusiva deformación de la realidad. Es pacífico, por lo demás, que el principio general de buena fe no sólo debe guiar la actuación de la Administración con respecto a los administrados, tal como dispone el art. 3 LRJ-PAC, sino que también ha de presidir el ejercicio de toda clase de derechos por los particulares por imperativo del art. 7 CC. Dado que el ejercicio desleal del derecho de acceso a los datos personales por el particular no es merecedor de tutela, la AEPD, en cuanto entidad administrativa encargada de velar por el cumplimiento de la legislación de protección de datos, no debió estimar que la UNED había vulnerado el derecho de don Manuel; y lo propio cabe decir del tribunal a quo, al reputar ajustada a derecho la citada decisión de la AEPD. Por todo ello, el motivo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 segundo de este recurso de casación ha de ser estimado, lo que conduce a la anulación de la sentencia impugnada. QUINTO. La estimación del motivo segundo de este recurso de casación hace innecesario el examen de su motivo tercero. No obstante, conviene señalar que la cuestión allí planteada -a saber: si la elección entre los posibles medios contemplados en el art. 15.2 LOPD de obtener el acceso a los datos personales corresponde al solicitante- resulta irrelevante en el presente caso porque, como se acaba de comprobar, el solicitante disponía ya de la posibilidad de acceso a sus datos personales, por no insistir en que no especificó qué medio de acceso quería utilizar.» Por ello, procede inadmitir la presente reclamación de Tutela de Derechos. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: INADMITIR la reclamación formulada por D. A.A.A. contra ASOCIACIÓN ESPAÑOLA DE LA ECONOMIA DIGITAL. SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del RLOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 18.4 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos, en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la Disposición Adicional Cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción ContenciosoAdministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es