La sala de lo Contencioso de la Audiencia Nacional, en una sentencia del pasado 8 de julio, ha impuesto a la empresa Segur Ibérica dos multas de 40.001 y 20.000 euros por sendas infracciones de la Ley Orgánica de Protección de Datos (LOPD) en el desempeño de sus funciones de vigilancia del aeropuerto grancanario de Gando.
De modo que el tribunal —que, eso sí, ha reducido el importe de las sanciones— confirma la tesis de la Agencia Española de Protección de Datos (AEPD), que había multado a la sociedad anónima del Grupo Segur después de que se denunciara que uno de sus trabajadores utilizaba las cámaras de seguridad para enfocar «determinadas partes de la anatomía del personal femenino objeto de grabación, dirigiéndose el objetivo de forma especial hacia las zonas pectorales y las nalgas de las empleadas y viajeras que trabajaban en el aeropuerto o utilizaban sus instalaciones», tal como puede leerse en la resolución de la AEPD.
El caso comienza allá en octubre de 2007, cuando la Guardia Civil denunció en la Agencia lo ocurrido en el centro de control de videocámaras de vigilancia después de que una empleada se diera cuenta del «uso indebido» de las cámaras que hacía uno de sus compañeros. Ello derivó en dos sanciones a Segur Ibérica: por un lado, por infringir el artículo 4.1 de la LOPD; por otro, por hacer lo propio respecto del artículo 12.2 de la misma ley.
«Graves» infracciones
Ambas infracciones fueron consideradas como «graves» y penadas con 30.000 y 60.101 euros, respectivamente, cantidades que ahora ha recortado la Audiencia Nacional. Antes, la empresa elevó un recurso de reposición al director de la AEPD, que no fue atendido. En consecuencia, la sociedad interpuso una reclamación por la vía contencioso-administrativa para conseguir la nulidad de las resoluciones de la Agencia.
Así y todo, y en esencia, el juez viene a secundar la decisión del director de la autoridad de control, si bien reduce el monto de las multas hasta los susodichos 60.000 euros. Esta aparente paradoja encuentra explicación en el empleo, aun retroactivo, de la norma sancionadora más beneficiosa. Por este motivo el tribunal acuerda finalmente aplicar lo estipulado en la última modificación del artículo 45 de la LOPD, que disminuye la cuantía de las infracciones.
Sea como fuere, sí quedó probado desde el principio del proceso que el vigilante en cuestión utilizó las cámaras del aeropuerto para observar a las mujeres, compañeras o usuarias del recinto. De hecho Segur Ibérica lo despidió y, además, reconoció en el escrito que trasladó a la AEPD que ya había detectado «un comportamiento anómalo del empleado».
Fuente: ABC
Fecha: 02/08/2011
miércoles, 30 de noviembre de 2011
La cancelación de los datos personales no impide la utilización de éstos para reclamar deudas vencidas
La Sala anula la sanción impuesta a Endesa, pues, en contra de lo que entendió la Agencia Española de Protección de Datos, sí atendió a la solicitud del interesado de la cancelación de los datos personales que constaban en sus ficheros, considerando correcta la reclamación posterior a dicha cancelación de una deuda derivada de la previa relación contractual entre las partes. Al respecto señala la Sala que el hecho de que Endesa al acceder al derecho de cancelación no especificase que la misma sólo produciría efectos “pro futuro”, no puede ser interpretado como la imposibilidad de utilizar los datos del interesado para reclamarle deudas vencidas y exigibles correspondientes al periodo en que la relación comercial entre ambos subsistía, pues resultaría contrario a los principios inspiradores del derecho administrativo sancionador que la conducta lícita y legal de la actora dejase de serlo porque accedió a la petición de cancelación sin especificar que ello no impedía la posibilidad de reclamar las deudas pendientes.
AUDIENCIA NACIONAL
Sala de lo Contencioso-Administrativo
Sentencia de 29 de abril de 2011
RECURSO Núm: 211/2010
Ponente Excmo. Sr. DIEGO CORDOBA CASTROVERDE
SENTENCIA
Madrid, a veintinueve de abril de dos mil once.
Vistos por la Sala, constituida por los Sres. Magistrados relacionados al margen, los autos del presente recurso contencioso-administrativo número 211/2010, interpuesto por el procurador de los Tribunales don Iñigo Muñoz Duran, actuando en nombre y representación de la entidad Endesa Energía SA Unipersonal, contra la resolución de fecha 17 de noviembre de 2009, confirmada
en reposición por resolución de 25 de enero de 2010, dictadas por el Director de la Agencia Española de Protección de Datos por la que se impuso una sanción de 6000 E por una infracción del art. 16 de la LOPD tipificada como leve en el art. 44.2.a) de dicha norma. Ha sido parte la Administración del Estado, asistida y representada por el Abogado del Estado.
ANTECEDENTES DE HECHO
PRIMERO. Interpuesto el presente recurso y previos los oportunos trámites, se confirió traslado a la parte actora por término de veinte días para formalizar la demanda, lo que verificó por escrito presentado el 5 de julio de 2010 en el que tras exponer los hechos y fundamentos de derecho que estimó pertinentes, solicita sentencia estimatoria del recurso por la que se anule la resolución recurrida.
SEGUNDO. La Administración demandada, una vez conferido el tramite pertinente para contestar la demanda, presentó escrito en el que alegó los hechos y fundamentos de derecho que estimó pertinentes, solicitando una sentencia en la que se declare la conformidad a derecho de las resoluciones impugnadas.
TERCERO. Tras la práctica de las pruebas que se consideraron pertinentes, con el resultado obrante en las actuaciones, y no estimándose necesaria la celebración de vista pública, se confirió traslado a las partes por termino de diez días para la formulación de conclusiones. Presentados los oportunos escritos quedaron las actuaciones pendientes de señalamiento para votación y fallo, fijándose al efecto el día 27 de abril de 2011, fecha en que tuvo lugar la deliberación y votación.
Siendo PONENTE el Magistrado ILMO. SR. D. DIEGO CORDOBA CASTROVERDE.
FUNDAMENTOS JURIDICOS
PRIMERO. El presente recurso tiene por objeto la resolución de fecha 17 de noviembre de 2009, confirmada en reposición 25 de enero de 2010, dictadas por el Director de la Agencia Española de Protección de Datos por las que se impuso la entidad recurrente una sanción de 6000 E por una infracción del art. 16 de la LOPD tipificada como leve en el art. 44.2.a) de dicha norma.
De los datos obrantes en el expediente, así como de las alegaciones formuladas por las partes y pruebas practicadas en el curso de las presentes actuaciones, resultan probados los siguientes hechos con relevancia para dictar la resolución que nos ocupa:
- D. Jesús Luis contrató a finales del año 2005 el suministro de energía eléctrica y de gas natural con la entidad Endesa Energía al considerar que su oferta era más ventajosa que la tenía con la entidad Gas Natural, básicamente por el ahorro que suponía la exención del canon IRC.
- El 2 de abril 2008 se le giró una factura por importe de 108,91 E por el concepto "repercusión canon IRC distribuidora".
- Mediante escrito de fecha 22 de julio de 2008 el Sr. Jesús Luis remitió al entidad Endesa Energía una petición de cancelación de sus datos, indicando que estos no podrían ser cedidos a persona o entidad alguna y que se procediera a acordar la cancelación de los datos personales obrantes en los archivos de dicha empresa o cualquiera otra vinculada a la misma.
- Endesa contestó a esta solicitud el 30 de julio de 2008 comunicándoles que como respuesta a su solicitud de cancelación u oposición a la cesión y el tratamiento de datos a otras empresas "me complace comunicarle que ambas solicitudes han sido atendidas de acuerdo con sus indicaciones. La cancelación dará lugar a la supresión o, en su caso, al bloqueo de datos, conservándose únicamente aquellos que por obligación legal deban mantenerse a disposición de las Administraciones Públicas, Jueces y tribunales para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de estas".
- El Sr. Jesús Luis recibió comunicación del Registro Sectorial de Morosidad de la Asociación Española de la Industria Eléctrica (UNESA) fechado el 4 de febrero de 2009 en el que se le informaba que en esa fecha "ha sido incluido, a instancias de la compañía comercializadora Endesa Energía SAU, en el Registro de Morosidad en el sector de la Comercialización de electricidad y Gas (RSM) detallándose que los datos de impago se refieren a una deuda de gas por importe de 141,17 E con fecha de vencimiento de 2 de junio de 2008.
SEGUNDO. La entidad recurrente funda su recurso en los siguientes motivos de impugnación:
1.º Vulneración del principio de legalidad. Inadecuación de procedimiento. Vulneración del principio de confianza legítima y de la doctrina de los actos propios.
Considera que la Administración demandada no ha iniciado el procedimiento legalmente previsto para garantizar la atención de los derechos de oposición y cancelación sino que prescindiendo del procedimiento legalmente establecido ha acordado incoar un expediente sancionador, por lo que se ha prescindido del procedimiento previsto en los artículos 117 y ss del Real Decreto 1720/2007 contraviniendo el principio de legalidad, falta de motivación y vulneración de confianza legítima y la doctrina de los actos propios. Todo ello por entender que frente a la reclamación del Sr. Jesús Luis la Administración debería haber iniciado un procedimiento de tutela de derechos de oposición y cancelación para que Endesa atendiese adecuadamente los derechos del denunciante.
2.º Vulneración del principio de antijuricidad y tipicidad.
Considera que cuando el denunciante ejercitó su derecho de cancelación de datos personales la entidad atendió a su solicitud y procedió a evitar el tratamiento de sus datos con fines comerciales y cesión de sus datos y que únicamente le reclamó la deuda porque le devolvió una factura al existir obligaciones pendientes de pago derivadas del contrato de suministro cuando este estaba vigente a tenor de lo establecido en el art. 33.1 del Real Decreto 1720/2007 en el que se afirma la posibilidad de la denegación del derecho de rectificación y cancelación cuando los datos personales deban conservarse en base a las relaciones contractuales de las partes.
3.º Vulneración de los principios de culpabilidad y proporcionalidad.
No es posible apreciar en la conducta desplegada por la entidad dolo o culpa alguna por cuanto procedió a contestar al reclamante en el plazo legalmente establecido aunque, al venir devuelta la factura del banco, no fuese procedente la cancelación de sus datos, por lo que no existe en su conducta elemento subjetivo que le haga merecedor de reproche jurídico alguno. Lo único que se ha producido es un error en la contestación al Sr. Jesús Luis puesto que no era procedente cancelar sus datos en relación con las deudas que tenía este pendientes durante la vigencia de su relación contractual.
4.º Falta de motivación en la graduación de la sanción aplicable.
La sanción impuesta vulnera los principios de motivación y proporcionalidad sin justificar las circunstancias la imposición de una multa por importe superior al límite mínimo previsto para las infracciones leves, por lo que de proceder la imposición de alguna sanción en ningún caso esta podría ser superior a los 601,01 E.
TERCERO. Un primer bloque argumental hace referencia a la inadecuación del procedimiento seguido por la Administración para enjuiciar el supuesto que nos ocupa. Esta alegación se sustenta en la afirmación de que se debería haber tramitado un procedimiento destinado a la tutela de los derechos del denunciante pero no un procedimiento sancionador contra dicha entidad. Alegación a la que anuda diferentes vulneraciones referidas al principio de legalidad, inadecuación de procedimiento, vulneración del principio de confianza legítima y de la doctrina de los actos propios.
No puede acogerse este motivo de impugnación, pues el denunciante acudió a la Agencia de Protección de Datos instando la iniciación de un procedimiento sancionador contra Endesa por entender que la citada entidad después de haber admitido y acogido su derecho de oposición y cancelación siguió tratando y cedió a un tercero (Registro sectorial de morosidad) sus datos personales por lo que consideraba que la conducta descrita podía constituir una infracción prevista y sancionada en la Ley de Protección de Datos.
La Agencia Española de Protección de datos consideró que Endesa con su conducta pudo incurrir en una infracción leve tipificada en el art. 44.2.a) de la LOPD "No atender, por motivos formales, la solicitud del interesado de rectificación o cancelación de los datos personales objeto de tratamiento cuando legalmente proceda" y tras instruir el correspondiente procedimiento sancionador la consideró responsable de la infracción descrita y le impuso una sanción de 6000 E.
La denuncia presentada por el afectado ante la Agencia de Protección de Datos contra Endesa no pretendía la tutela del derecho respecto a la falta de respuesta o negativa a proceder a la cancelación solicitada, pues la respuesta dada por la compañía Endesa satisfacía su petición de cancelación. El problema se centraba en determinar si pese al reconocimiento formal del derecho de cancelación del afectado, el tratamiento posterior de sus datos por parte de la citada entidad la hizo incurrir en alguna infracción de la LOPD, por lo que el cauce adecuado para depurar la pretendida responsabilidad de la compañía era el procedimiento sancionador seguido al efecto. Queda al margen de esta consideración si los hechos origen de estas actuaciones integran o no el tipo infractor por el que fue sancionada, cuestión que abordaremos a continuación.
CUARTO. La recurrente, en un segundo bloque argumental, impugna la sanción impuesta al considerar que la conducta descrita no constituye infracción alguna. Y ello al entender que cuando el denunciante ejercitó su derecho de cancelación la entidad atendió a su solicitud y procedió a evitar el tratamiento de sus datos con fines comerciales y cesión de sus datos y que únicamente le reclamó la deuda porque le devolvió una factura al existir obligaciones pendientes de pago derivadas del contrato de suministro cuando este estaba vigente. Y al mismo tiempo considera que se vulnera el principios de culpabilidad pues no es posible apreciar en la conducta desplegada por la entidad dolo o culpa alguna dado que contestó al reclamante en el plazo legalmente establecido aunque, al venir devuelta la factura del banco, no fuese procedente la cancelación de sus datos, por lo que no existe en su conducta elemento subjetivo que le haga merecedor de reproche jurídico alguno. Lo único que se ha producido es un error en la contestación al Sr. Jesús Luis puesto que no era procedente cancelar sus datos en relación con las deudas que tenía este pendientes durante la vigencia de su relación contractual.
La resolución administrativa considera infringido el art. 44.2.a) de la LOPD ) tipifica como infracción leve "No atender, por motivos formales, la solicitud del interesado de rectificación o cancelación de los datos personales objeto de tratamiento cuando legalmente proceda". Y para llegar a esta conclusión parte de una afirmación previa consistente en que "la relación contractual entre las partes, suministro de gas natural, exigía el uso de los datos personales del denunciante hasta que la relación hubiera concluido" y tras considerar que la relación contractual no había concluido afirma "En consecuencia, el uso de los datos personales del denunciante era necesario y la cancelación de los mismos no era procedente mientras esa relación no hubiera concluido".
En definitiva, considera que el tratamiento de los datos personales del denunciante, habida cuenta de la existencia de una relación contractual vigente y de la posible existencia de una deuda pendiente, era posible por lo que la compañía suministradora no estaba obligada a cancelar sus datos ni le estaba vedado poder seguir tratándolos para exigir el pago de las deudas que la relación contractual entre ambos había generado.
Pese a ello considera, que "La respuesta a la solicitud de cancelación debió de dejar bien claro que por ese motivo la cancelación debía de ser denegada. Al no hacerlo así estamos ante un supuesto de no atención -por motivos formales- de una solicitud de cancelación en los términos establecidos en el precepto citado".
Las conclusiones alcanzadas por la Agencia de Protección de datos, a la vista de estos razonamientos, resultan sorprendentes y no pueden ser compartidas. La entidad Endesa cuando fue requerida por el interesado para que cancelará los datos personales del afectado que constaban en sus ficheros no desatendió, ni por motivos formales ni de fondo, la solicitud del interesado, antes al contrario, contestó de forma expresa y por escrito al afectado haciéndole saber que accedía a su petición en los siguientes términos: "me complace comunicarle que ambas solicitudes han sido atendidas de acuerdo con sus indicaciones. La cancelación dará lugar a la supresión o, en su caso, al bloqueo de datos, conservándose únicamente aquellos que por obligación legal deban mantenerse a disposición de las Administraciones Públicas, Jueces y tribunales para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de estas". Es por ello que no puede sostenerse, tal y como afirma la resolución administrativa impugnada, que la entidad sancionada incumpliera el deber de atender la solicitud de rectificación o cancelación de datos instada por el interesado, y consecuentemente, no se alcanzan a comprender las razones que llevan a la Agencia Protección de Datos a considerar infringido el tipo por el que se le sanciona.
El problema que se plantea es otro bien distinto. La entidad recurrente, después de haberle comunicado al interesado que accedía a la cancelación y bloqueo de sus datos personales, le reclamó una deuda derivaba de su previa relación contractual y que al parecer había resultado impagada. El hecho de que Endesa al acceder al derecho de cancelación no especificase que dicha cancelación solo produciría efectos "pro futuro", tanto para dar por concluida la relación comercial que les vinculaba como para la futura remisión de publicidad u otro tipo de tratamiento de sus datos futuros, no podía ser interpretado como la imposibilidad de utilizar los datos del recurrente para reclamarle deudas vencidas y exigibles correspondientes al periodo en que la relación comercial entre ambos subsistía, otra interpretación de esta comunicación debe reputarse absurda y desproporcionada. El derecho de oposición y cancelación de datos no puede ser utilizado como mecanismo liberatorio o de condonación de deudas vencidas y, por ende, la entidad Endesa se encontraba autorizada a seguir tratando los datos personales del cliente con la finalidad de reclamarle las deudas pendientes, así lo reconoce la propia Agencia de protección de datos y lo dispone el artículo 6.2 de la LOPD ("no será preciso el consentimiento cuando los datos de carácter personal...cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento") y el art. 16 de dicha norma, referente al derecho de rectificación y cancelación, dispone en su apartado quinto que "Los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su cado, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado" y en similares términos se pronuncia el art. 33.1 del Real Decreto 1720/2007.
El hecho de que en respuesta a su petición de cancelación no se le especificase que dicha cancelación tan solo operaba para el futuro no puede considerarse el incumplimiento del deber de cancelación, ni puede reputarse un tratamiento inconsentido por lo que carece de toda lógica y resulta contrario a los principios inspiradores del derecho administrativo sancionador que la conducta lícita y legal de dicha entidad dejó de serlo porque accedió a la petición de cancelación sin especificar que ello no impedía la posibilidad de reclamar las deudas pendientes.
QUINTO. A los efectos previstos en el art. 139 de la Ley reguladora de esta jurisdicción en materia de costas procesales, no se aprecia temeridad o mala fe en ninguno de los litigantes.
VISTOS los preceptos citados y demás normas de procedente aplicación,
FALLAMOS
QUE PROCEDE ESTIMAR el recurso interpuesto por la entidad Endesa Energía SA Unipersonal, contra la resolución de fecha 17 de noviembre de 2009 y contra la resolución de 25 de enero de 2010 que la confirma en reposición, dictadas por el Director de la Agencia Española de Protección de Datos por la que se impuso una sanción de 6000 E por una infracción del art. 16 de la LOPD tipificada como leve en el art. 44.2.a) de dicha norma, anulando las resoluciones administrativas sin hacer expresa condena en costas.
Notifíquese a las partes la presente resolución indicándoles que contra la misma no cabe recurso de casación.
Así, por esta nuestra sentencia de la que se llevará testimonio a las actuaciones, lo pronunciamos, mandamos y firmamos.
PUBLICACIÓN.- Dada, leída y publicada fue la anterior sentencia en audiencia pública. Doy fe. Madrid a
LA SECRETARIA JUDICIAL
Fuente: el Imparcial
Fecha: 21/07/2011
AUDIENCIA NACIONAL
Sala de lo Contencioso-Administrativo
Sentencia de 29 de abril de 2011
RECURSO Núm: 211/2010
Ponente Excmo. Sr. DIEGO CORDOBA CASTROVERDE
SENTENCIA
Madrid, a veintinueve de abril de dos mil once.
Vistos por la Sala, constituida por los Sres. Magistrados relacionados al margen, los autos del presente recurso contencioso-administrativo número 211/2010, interpuesto por el procurador de los Tribunales don Iñigo Muñoz Duran, actuando en nombre y representación de la entidad Endesa Energía SA Unipersonal, contra la resolución de fecha 17 de noviembre de 2009, confirmada
en reposición por resolución de 25 de enero de 2010, dictadas por el Director de la Agencia Española de Protección de Datos por la que se impuso una sanción de 6000 E por una infracción del art. 16 de la LOPD tipificada como leve en el art. 44.2.a) de dicha norma. Ha sido parte la Administración del Estado, asistida y representada por el Abogado del Estado.
ANTECEDENTES DE HECHO
PRIMERO. Interpuesto el presente recurso y previos los oportunos trámites, se confirió traslado a la parte actora por término de veinte días para formalizar la demanda, lo que verificó por escrito presentado el 5 de julio de 2010 en el que tras exponer los hechos y fundamentos de derecho que estimó pertinentes, solicita sentencia estimatoria del recurso por la que se anule la resolución recurrida.
SEGUNDO. La Administración demandada, una vez conferido el tramite pertinente para contestar la demanda, presentó escrito en el que alegó los hechos y fundamentos de derecho que estimó pertinentes, solicitando una sentencia en la que se declare la conformidad a derecho de las resoluciones impugnadas.
TERCERO. Tras la práctica de las pruebas que se consideraron pertinentes, con el resultado obrante en las actuaciones, y no estimándose necesaria la celebración de vista pública, se confirió traslado a las partes por termino de diez días para la formulación de conclusiones. Presentados los oportunos escritos quedaron las actuaciones pendientes de señalamiento para votación y fallo, fijándose al efecto el día 27 de abril de 2011, fecha en que tuvo lugar la deliberación y votación.
Siendo PONENTE el Magistrado ILMO. SR. D. DIEGO CORDOBA CASTROVERDE.
FUNDAMENTOS JURIDICOS
PRIMERO. El presente recurso tiene por objeto la resolución de fecha 17 de noviembre de 2009, confirmada en reposición 25 de enero de 2010, dictadas por el Director de la Agencia Española de Protección de Datos por las que se impuso la entidad recurrente una sanción de 6000 E por una infracción del art. 16 de la LOPD tipificada como leve en el art. 44.2.a) de dicha norma.
De los datos obrantes en el expediente, así como de las alegaciones formuladas por las partes y pruebas practicadas en el curso de las presentes actuaciones, resultan probados los siguientes hechos con relevancia para dictar la resolución que nos ocupa:
- D. Jesús Luis contrató a finales del año 2005 el suministro de energía eléctrica y de gas natural con la entidad Endesa Energía al considerar que su oferta era más ventajosa que la tenía con la entidad Gas Natural, básicamente por el ahorro que suponía la exención del canon IRC.
- El 2 de abril 2008 se le giró una factura por importe de 108,91 E por el concepto "repercusión canon IRC distribuidora".
- Mediante escrito de fecha 22 de julio de 2008 el Sr. Jesús Luis remitió al entidad Endesa Energía una petición de cancelación de sus datos, indicando que estos no podrían ser cedidos a persona o entidad alguna y que se procediera a acordar la cancelación de los datos personales obrantes en los archivos de dicha empresa o cualquiera otra vinculada a la misma.
- Endesa contestó a esta solicitud el 30 de julio de 2008 comunicándoles que como respuesta a su solicitud de cancelación u oposición a la cesión y el tratamiento de datos a otras empresas "me complace comunicarle que ambas solicitudes han sido atendidas de acuerdo con sus indicaciones. La cancelación dará lugar a la supresión o, en su caso, al bloqueo de datos, conservándose únicamente aquellos que por obligación legal deban mantenerse a disposición de las Administraciones Públicas, Jueces y tribunales para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de estas".
- El Sr. Jesús Luis recibió comunicación del Registro Sectorial de Morosidad de la Asociación Española de la Industria Eléctrica (UNESA) fechado el 4 de febrero de 2009 en el que se le informaba que en esa fecha "ha sido incluido, a instancias de la compañía comercializadora Endesa Energía SAU, en el Registro de Morosidad en el sector de la Comercialización de electricidad y Gas (RSM) detallándose que los datos de impago se refieren a una deuda de gas por importe de 141,17 E con fecha de vencimiento de 2 de junio de 2008.
SEGUNDO. La entidad recurrente funda su recurso en los siguientes motivos de impugnación:
1.º Vulneración del principio de legalidad. Inadecuación de procedimiento. Vulneración del principio de confianza legítima y de la doctrina de los actos propios.
Considera que la Administración demandada no ha iniciado el procedimiento legalmente previsto para garantizar la atención de los derechos de oposición y cancelación sino que prescindiendo del procedimiento legalmente establecido ha acordado incoar un expediente sancionador, por lo que se ha prescindido del procedimiento previsto en los artículos 117 y ss del Real Decreto 1720/2007 contraviniendo el principio de legalidad, falta de motivación y vulneración de confianza legítima y la doctrina de los actos propios. Todo ello por entender que frente a la reclamación del Sr. Jesús Luis la Administración debería haber iniciado un procedimiento de tutela de derechos de oposición y cancelación para que Endesa atendiese adecuadamente los derechos del denunciante.
2.º Vulneración del principio de antijuricidad y tipicidad.
Considera que cuando el denunciante ejercitó su derecho de cancelación de datos personales la entidad atendió a su solicitud y procedió a evitar el tratamiento de sus datos con fines comerciales y cesión de sus datos y que únicamente le reclamó la deuda porque le devolvió una factura al existir obligaciones pendientes de pago derivadas del contrato de suministro cuando este estaba vigente a tenor de lo establecido en el art. 33.1 del Real Decreto 1720/2007 en el que se afirma la posibilidad de la denegación del derecho de rectificación y cancelación cuando los datos personales deban conservarse en base a las relaciones contractuales de las partes.
3.º Vulneración de los principios de culpabilidad y proporcionalidad.
No es posible apreciar en la conducta desplegada por la entidad dolo o culpa alguna por cuanto procedió a contestar al reclamante en el plazo legalmente establecido aunque, al venir devuelta la factura del banco, no fuese procedente la cancelación de sus datos, por lo que no existe en su conducta elemento subjetivo que le haga merecedor de reproche jurídico alguno. Lo único que se ha producido es un error en la contestación al Sr. Jesús Luis puesto que no era procedente cancelar sus datos en relación con las deudas que tenía este pendientes durante la vigencia de su relación contractual.
4.º Falta de motivación en la graduación de la sanción aplicable.
La sanción impuesta vulnera los principios de motivación y proporcionalidad sin justificar las circunstancias la imposición de una multa por importe superior al límite mínimo previsto para las infracciones leves, por lo que de proceder la imposición de alguna sanción en ningún caso esta podría ser superior a los 601,01 E.
TERCERO. Un primer bloque argumental hace referencia a la inadecuación del procedimiento seguido por la Administración para enjuiciar el supuesto que nos ocupa. Esta alegación se sustenta en la afirmación de que se debería haber tramitado un procedimiento destinado a la tutela de los derechos del denunciante pero no un procedimiento sancionador contra dicha entidad. Alegación a la que anuda diferentes vulneraciones referidas al principio de legalidad, inadecuación de procedimiento, vulneración del principio de confianza legítima y de la doctrina de los actos propios.
No puede acogerse este motivo de impugnación, pues el denunciante acudió a la Agencia de Protección de Datos instando la iniciación de un procedimiento sancionador contra Endesa por entender que la citada entidad después de haber admitido y acogido su derecho de oposición y cancelación siguió tratando y cedió a un tercero (Registro sectorial de morosidad) sus datos personales por lo que consideraba que la conducta descrita podía constituir una infracción prevista y sancionada en la Ley de Protección de Datos.
La Agencia Española de Protección de datos consideró que Endesa con su conducta pudo incurrir en una infracción leve tipificada en el art. 44.2.a) de la LOPD "No atender, por motivos formales, la solicitud del interesado de rectificación o cancelación de los datos personales objeto de tratamiento cuando legalmente proceda" y tras instruir el correspondiente procedimiento sancionador la consideró responsable de la infracción descrita y le impuso una sanción de 6000 E.
La denuncia presentada por el afectado ante la Agencia de Protección de Datos contra Endesa no pretendía la tutela del derecho respecto a la falta de respuesta o negativa a proceder a la cancelación solicitada, pues la respuesta dada por la compañía Endesa satisfacía su petición de cancelación. El problema se centraba en determinar si pese al reconocimiento formal del derecho de cancelación del afectado, el tratamiento posterior de sus datos por parte de la citada entidad la hizo incurrir en alguna infracción de la LOPD, por lo que el cauce adecuado para depurar la pretendida responsabilidad de la compañía era el procedimiento sancionador seguido al efecto. Queda al margen de esta consideración si los hechos origen de estas actuaciones integran o no el tipo infractor por el que fue sancionada, cuestión que abordaremos a continuación.
CUARTO. La recurrente, en un segundo bloque argumental, impugna la sanción impuesta al considerar que la conducta descrita no constituye infracción alguna. Y ello al entender que cuando el denunciante ejercitó su derecho de cancelación la entidad atendió a su solicitud y procedió a evitar el tratamiento de sus datos con fines comerciales y cesión de sus datos y que únicamente le reclamó la deuda porque le devolvió una factura al existir obligaciones pendientes de pago derivadas del contrato de suministro cuando este estaba vigente. Y al mismo tiempo considera que se vulnera el principios de culpabilidad pues no es posible apreciar en la conducta desplegada por la entidad dolo o culpa alguna dado que contestó al reclamante en el plazo legalmente establecido aunque, al venir devuelta la factura del banco, no fuese procedente la cancelación de sus datos, por lo que no existe en su conducta elemento subjetivo que le haga merecedor de reproche jurídico alguno. Lo único que se ha producido es un error en la contestación al Sr. Jesús Luis puesto que no era procedente cancelar sus datos en relación con las deudas que tenía este pendientes durante la vigencia de su relación contractual.
La resolución administrativa considera infringido el art. 44.2.a) de la LOPD ) tipifica como infracción leve "No atender, por motivos formales, la solicitud del interesado de rectificación o cancelación de los datos personales objeto de tratamiento cuando legalmente proceda". Y para llegar a esta conclusión parte de una afirmación previa consistente en que "la relación contractual entre las partes, suministro de gas natural, exigía el uso de los datos personales del denunciante hasta que la relación hubiera concluido" y tras considerar que la relación contractual no había concluido afirma "En consecuencia, el uso de los datos personales del denunciante era necesario y la cancelación de los mismos no era procedente mientras esa relación no hubiera concluido".
En definitiva, considera que el tratamiento de los datos personales del denunciante, habida cuenta de la existencia de una relación contractual vigente y de la posible existencia de una deuda pendiente, era posible por lo que la compañía suministradora no estaba obligada a cancelar sus datos ni le estaba vedado poder seguir tratándolos para exigir el pago de las deudas que la relación contractual entre ambos había generado.
Pese a ello considera, que "La respuesta a la solicitud de cancelación debió de dejar bien claro que por ese motivo la cancelación debía de ser denegada. Al no hacerlo así estamos ante un supuesto de no atención -por motivos formales- de una solicitud de cancelación en los términos establecidos en el precepto citado".
Las conclusiones alcanzadas por la Agencia de Protección de datos, a la vista de estos razonamientos, resultan sorprendentes y no pueden ser compartidas. La entidad Endesa cuando fue requerida por el interesado para que cancelará los datos personales del afectado que constaban en sus ficheros no desatendió, ni por motivos formales ni de fondo, la solicitud del interesado, antes al contrario, contestó de forma expresa y por escrito al afectado haciéndole saber que accedía a su petición en los siguientes términos: "me complace comunicarle que ambas solicitudes han sido atendidas de acuerdo con sus indicaciones. La cancelación dará lugar a la supresión o, en su caso, al bloqueo de datos, conservándose únicamente aquellos que por obligación legal deban mantenerse a disposición de las Administraciones Públicas, Jueces y tribunales para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de estas". Es por ello que no puede sostenerse, tal y como afirma la resolución administrativa impugnada, que la entidad sancionada incumpliera el deber de atender la solicitud de rectificación o cancelación de datos instada por el interesado, y consecuentemente, no se alcanzan a comprender las razones que llevan a la Agencia Protección de Datos a considerar infringido el tipo por el que se le sanciona.
El problema que se plantea es otro bien distinto. La entidad recurrente, después de haberle comunicado al interesado que accedía a la cancelación y bloqueo de sus datos personales, le reclamó una deuda derivaba de su previa relación contractual y que al parecer había resultado impagada. El hecho de que Endesa al acceder al derecho de cancelación no especificase que dicha cancelación solo produciría efectos "pro futuro", tanto para dar por concluida la relación comercial que les vinculaba como para la futura remisión de publicidad u otro tipo de tratamiento de sus datos futuros, no podía ser interpretado como la imposibilidad de utilizar los datos del recurrente para reclamarle deudas vencidas y exigibles correspondientes al periodo en que la relación comercial entre ambos subsistía, otra interpretación de esta comunicación debe reputarse absurda y desproporcionada. El derecho de oposición y cancelación de datos no puede ser utilizado como mecanismo liberatorio o de condonación de deudas vencidas y, por ende, la entidad Endesa se encontraba autorizada a seguir tratando los datos personales del cliente con la finalidad de reclamarle las deudas pendientes, así lo reconoce la propia Agencia de protección de datos y lo dispone el artículo 6.2 de la LOPD ("no será preciso el consentimiento cuando los datos de carácter personal...cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento") y el art. 16 de dicha norma, referente al derecho de rectificación y cancelación, dispone en su apartado quinto que "Los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su cado, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado" y en similares términos se pronuncia el art. 33.1 del Real Decreto 1720/2007.
El hecho de que en respuesta a su petición de cancelación no se le especificase que dicha cancelación tan solo operaba para el futuro no puede considerarse el incumplimiento del deber de cancelación, ni puede reputarse un tratamiento inconsentido por lo que carece de toda lógica y resulta contrario a los principios inspiradores del derecho administrativo sancionador que la conducta lícita y legal de dicha entidad dejó de serlo porque accedió a la petición de cancelación sin especificar que ello no impedía la posibilidad de reclamar las deudas pendientes.
QUINTO. A los efectos previstos en el art. 139 de la Ley reguladora de esta jurisdicción en materia de costas procesales, no se aprecia temeridad o mala fe en ninguno de los litigantes.
VISTOS los preceptos citados y demás normas de procedente aplicación,
FALLAMOS
QUE PROCEDE ESTIMAR el recurso interpuesto por la entidad Endesa Energía SA Unipersonal, contra la resolución de fecha 17 de noviembre de 2009 y contra la resolución de 25 de enero de 2010 que la confirma en reposición, dictadas por el Director de la Agencia Española de Protección de Datos por la que se impuso una sanción de 6000 E por una infracción del art. 16 de la LOPD tipificada como leve en el art. 44.2.a) de dicha norma, anulando las resoluciones administrativas sin hacer expresa condena en costas.
Notifíquese a las partes la presente resolución indicándoles que contra la misma no cabe recurso de casación.
Así, por esta nuestra sentencia de la que se llevará testimonio a las actuaciones, lo pronunciamos, mandamos y firmamos.
PUBLICACIÓN.- Dada, leída y publicada fue la anterior sentencia en audiencia pública. Doy fe. Madrid a
LA SECRETARIA JUDICIAL
Fuente: el Imparcial
Fecha: 21/07/2011
Según los hospitales españoles AEPD adolecen de serias deficiencias en la custodia y el tratamiento de los datos personales de sus pacientes
Un reciente estudio realizado por la Agencia Española de Protección de Datos (AEPD) en los hospitales de casi toda España, revela serias carencias en el tratamiento de la información médica. La situación es en tanto preocupante, que estos centros por su naturaleza tratan datos de salud, tipificados por la normativa de protección de datos como sensibles y de especial protección y por tanto requieren medidas de seguridad de nivel alto. En total se ha consultado a 562 hospitales públicos y privados de toda España con la excepción de los de las comunidades que tienen sus propias agencias de protección de datos como Madrid, País Vasco y Cataluña y por tanto cuentan con departamentos propios sobre la materia . Sin embargo, en Madrid y País Vasco sí respondieron los centros privados.
El resultado es alarmante, ya que en más de 200 hospitales se ha detectado la falta de aplicación de las medidas de seguridad adecuadas y la existencia de graves deficiencias en la custodia y tratamiento de los datos personales los pacientes. Especialmente grave es la situación de la sanidad pública donde se han encontrado mucho más errores que en la privada y sin embargo hasta 66% de ellos no realizan bianualmente auditorías de seguridad tal y como obliga la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal (LOPD). Los incumplimientos en la implantación de medidas de seguridad y custodia de la información provocan un gran riesgo de acceso indebido a la información con datos sensibles por personas no autorizadas. Y así, el 30% de los centros públicos no tiene medidas para evitar la pérdida de la documentación clínica durante el transporte. En el 35% de los hospitales el archivo de las historias clínicas no tiene mecanismos que impidan su apertura, es decir se guardan normalmente en las estanterías en lugares fácilmente accesibles para personas ajenas o sin la autorización pertinente. Cerca del 40% de los centros sanitarios públicos y del 15% de los privados incumplen la obligación de tener un registro de accesos a la información sanitaria custodiada.
Cabe destacar que el número de denuncias ha aumentado considerablemente en los últimos años y las principales quejas expuestas por los denunciantes están relacionadas con la difusión indebida de la información personal de especial protección, el abandono de historias clínicas en contenedores de la vía pública, su almacenamiento en áreas no restringidas o la pérdida de historiales en los procesos de automatización.
En 2009 se presentaron 123 denuncias y en lo que va de año ya 100, además de medio centenar de peticiones de tutela de derechos por parte de personas que han encontrado dificultades para acceder a datos propios o de sus familiares.
Fuente: Pysnnoticias
Fecha: 12/07/2011
El resultado es alarmante, ya que en más de 200 hospitales se ha detectado la falta de aplicación de las medidas de seguridad adecuadas y la existencia de graves deficiencias en la custodia y tratamiento de los datos personales los pacientes. Especialmente grave es la situación de la sanidad pública donde se han encontrado mucho más errores que en la privada y sin embargo hasta 66% de ellos no realizan bianualmente auditorías de seguridad tal y como obliga la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal (LOPD). Los incumplimientos en la implantación de medidas de seguridad y custodia de la información provocan un gran riesgo de acceso indebido a la información con datos sensibles por personas no autorizadas. Y así, el 30% de los centros públicos no tiene medidas para evitar la pérdida de la documentación clínica durante el transporte. En el 35% de los hospitales el archivo de las historias clínicas no tiene mecanismos que impidan su apertura, es decir se guardan normalmente en las estanterías en lugares fácilmente accesibles para personas ajenas o sin la autorización pertinente. Cerca del 40% de los centros sanitarios públicos y del 15% de los privados incumplen la obligación de tener un registro de accesos a la información sanitaria custodiada.
Cabe destacar que el número de denuncias ha aumentado considerablemente en los últimos años y las principales quejas expuestas por los denunciantes están relacionadas con la difusión indebida de la información personal de especial protección, el abandono de historias clínicas en contenedores de la vía pública, su almacenamiento en áreas no restringidas o la pérdida de historiales en los procesos de automatización.
En 2009 se presentaron 123 denuncias y en lo que va de año ya 100, además de medio centenar de peticiones de tutela de derechos por parte de personas que han encontrado dificultades para acceder a datos propios o de sus familiares.
Fuente: Pysnnoticias
Fecha: 12/07/2011
¿Tu empresa cumple con la LOPD cuando emprende acciones de e-mail marketing?
En todas las actividades profesionales el contacto con los clientes es una herramienta fundamental para generar futuros negocios. Este contacto se hace en muchos casos mediante técnicas de email marketing en las cuales gestionar una buena base de datos supone tener que conocer las leyes que regulan su manejo con el fin de no arriesgar la privacidad de tus clientes. En el caso de España se debe saber cumplir la Ley Organica de protección de datos, conocida habitualmente por sus siglas: LOPD. Algunos pasos básicos para estar seguro del cumplimiento de esta ley son:
- Inscribir tus ficheros en Registro General de la Protección de Datos. Con este paso la Administración tendrá conciencia de que estás gestionando una base de datos con información personal.
- Redactar y definir un documento de seguridad para salvaguardar la privacidad de los datos que posees. Este fichero no está orientado al público, sino a la propia empresa, para saber cómo y cuando puedes manejar dichos datos personales.
- Asimismo se valorará la calidad de los datos que se recopilan. Según la LOPD los datos deben de adecuarse a la finalidad para la que fueron recabados, ser exactos y actualizados; no deben mantenerse indefinidamente sin justificación, y deben haber sido recogidos de forma lícita, es decir: los usuarios deben haber dado consentimiento del posible uso de sus datos.
- Otro elemento a tener en cuenta es el deber de secreto. Con él se normativiza cómo la empresa debe distribuir dichos datos personales. Esto repercute directamente en los empleados que gestionan dicha base de datos, a los cuales habrá que informar y hacer firmar cláusulas si es necesario para que conozcan las consecuencias del mal uso o mala protección de los datos recabados.
Fuente: Blog de solostocks
Fecha: 11/07/2011
- Inscribir tus ficheros en Registro General de la Protección de Datos. Con este paso la Administración tendrá conciencia de que estás gestionando una base de datos con información personal.
- Redactar y definir un documento de seguridad para salvaguardar la privacidad de los datos que posees. Este fichero no está orientado al público, sino a la propia empresa, para saber cómo y cuando puedes manejar dichos datos personales.
- Asimismo se valorará la calidad de los datos que se recopilan. Según la LOPD los datos deben de adecuarse a la finalidad para la que fueron recabados, ser exactos y actualizados; no deben mantenerse indefinidamente sin justificación, y deben haber sido recogidos de forma lícita, es decir: los usuarios deben haber dado consentimiento del posible uso de sus datos.
- Otro elemento a tener en cuenta es el deber de secreto. Con él se normativiza cómo la empresa debe distribuir dichos datos personales. Esto repercute directamente en los empleados que gestionan dicha base de datos, a los cuales habrá que informar y hacer firmar cláusulas si es necesario para que conozcan las consecuencias del mal uso o mala protección de los datos recabados.
Fuente: Blog de solostocks
Fecha: 11/07/2011
Alerta ante una campaña fraudulenta en protección de datos a empresas de Albacete
La Confederación de Empresarios de Albacete (Feda) ha puesto en conocimiento de las empresas de la provincia la circulación de una campaña fraudulenta en materia de protección de datos, atendiendo a consultas de los propios empresarios y de acuerdo a una circular de la Agencia Española de Protección de Datos (AEPD). Según informaba la patronal, se ha detectado que diversas entidades envían comunicaciones a responsables de ficheros utilizando denominaciones similares a la de la propia Agencia, induciendo a confusión sobre el remitente de la comunicación.
Las fórmulas utilizadas por dichas entidades son diversas: Utilización indebida del logotipo de la AEPD, denominaciones similares a las de la Agencia, membretes que simulan requerimientos de la Agencia o la utilización de escritos cuyos formatos son similares a los enviados por la agencia Española de Protección de Datos.
Estas comunicaciones suelen presentarse como un requerimiento de la AEPD sobre el cumplimiento de la normativa de protección de datos, con advertencias sobre el régimen sancionador aplicable, ofreciendo un asesoramiento posterior sobre cómo adaptarse a la Ley Orgánica 1571999, de 13 de diciembre, de Protección de Datos (LOPD).
Ante estos hechos, Feda ha trasladado a las empresas que la Agencia no realiza requerimientos en los términos que se han indicado y advierte a los responsables de ficheros que los reciban para que analicen detenidamente la identificación de los remitentes, a fin de evitar confusiones o presentas suplantaciones de la AEPD.
En cualquier caso, la AEPD analizará las denuncias que reciba sobre estas conductas, reservándose el ejercicio de las acciones legales pertinentes para proteger su imagen, evitar prácticas desleales o exigir responsabilidades penales sobre los responsables de estas prácticas, concluía la nota de prensa
Fuente: el Día digital
Fecha: 29/06/2011
Las fórmulas utilizadas por dichas entidades son diversas: Utilización indebida del logotipo de la AEPD, denominaciones similares a las de la Agencia, membretes que simulan requerimientos de la Agencia o la utilización de escritos cuyos formatos son similares a los enviados por la agencia Española de Protección de Datos.
Estas comunicaciones suelen presentarse como un requerimiento de la AEPD sobre el cumplimiento de la normativa de protección de datos, con advertencias sobre el régimen sancionador aplicable, ofreciendo un asesoramiento posterior sobre cómo adaptarse a la Ley Orgánica 1571999, de 13 de diciembre, de Protección de Datos (LOPD).
Ante estos hechos, Feda ha trasladado a las empresas que la Agencia no realiza requerimientos en los términos que se han indicado y advierte a los responsables de ficheros que los reciban para que analicen detenidamente la identificación de los remitentes, a fin de evitar confusiones o presentas suplantaciones de la AEPD.
En cualquier caso, la AEPD analizará las denuncias que reciba sobre estas conductas, reservándose el ejercicio de las acciones legales pertinentes para proteger su imagen, evitar prácticas desleales o exigir responsabilidades penales sobre los responsables de estas prácticas, concluía la nota de prensa
Fuente: el Día digital
Fecha: 29/06/2011
COMUNIDADES DE PROPIETARIOS Y PROTECCIÓN DE DATOS
Parece que nunca nos vamos a enfrentar a ello y que todo nos toca de lejos, salvo que nos adentremos en el proceloso mundo empresarial e iniciemos ese deporte de riesgo que es crear una empresa. Esto es así mayoritariamente, pero podemos encontrarnos en el caso de tener la fortuna de ser nombrados Presidente de nuestra Comunidad de Vecinos, y que ésta no esté adecuada a la normativa en materia de protección de datos personales, hipótesis nada desdeñable.
Aunque este problema se suele dejar en manos del Administrador, hay Comunidades de Propietarios pequeñas en las que no existe esta figura, y las cuales por supuesto también tienen la obligación de cumplir la LOPD. Así que tanto para aquellos Presidentes de Comunidad accidentales como para Administradores de Fincas no duchos en esta materia, pasamos a exponer las principales cuestiones que plantea adecuar las Comunidades de Propietarios (en adelante CP) a la Protección de Datos en España.
Como hemos advertido, las CP están obligadas a cumplir con la legislación en materia de Protección de Datos, pues tratan datos personales - como mínimo de los propietarios de las viviendas -, y además pueden contratar con proveedores, prestadores de servicios, incorporar cámaras de videovigilancia, etc. La AEPD ha impuesto no pocas sanciones a CP, precisamente por el desconocimiento general de la normativa, y la asimilación de usos y costumbres que atentan contra la ley pero que están ciertamente arraigados.
Cuando la Comunidad contrata los servicios de un Administrador de Fincas, éste (salvo excepciones) será Encargado de Tratamiento (tercero con acceso a datos) de los datos personales por cuenta del Responsable de Tratamiento, la CP. Esta relación debe figurar en un contrato (con independencia del contrato mercantil de prestación de servicios), que ha de contener las cláusulas establecidas en el artículo 12 de la LOPD. Se trata de un aspecto fundamental y prioritario a la hora de conseguir una correcta adecuación a la Ley, y sobre todo para delimitar responsabilidades y evitar posibles sanciones por actuaciones de terceros.
Una vez aclarados estos dos puntos, vamos a señalar las principales controversias que se plantean en la práctica, y las soluciones legales a las mismas:
Utilización de los datos personales de la CP para actividades de prospección comercial de empresas que trabajan principalmente con comunidades de propietarios.
Aquí se estarían tratando los datos personales de los propietarios con una finalidad distinta para la que fueron recabados, y comunicándose a terceros dichos datos, por lo que en ambos casos se requeriría el consentimiento de los afectados, que de no producirse podría constituir una infracción muy grave, sancionada hasta con 600.000 €. En principio la multa recaería sobre la CP, como Responsable del Tratamiento, pero si se cuenta con los servicios de un Administrador de fincas, y está firmado el preceptivo contrato de acceso de datos por cuenta de terceros citado anteriormente, la responsabilidad podría afectar a dicho Administrador si queda acreditada la existencia de un incumplimiento del contrato en el tratamiento y utilización de los datos, resultando la CP eximida de tal responsabilidad.
Publicación de datos de propietarios morosos en el tablón anuncios de la comunidad.
Es éste un supuesto bastante habitual sobre el que se ha pronunciado la AEPD en varias ocasiones. Siempre que se produzca esa publicación, habría una comunicación de datos personales, esto es, una revelación a persona distinta del interesado, la cual requiere el consentimiento del afectado, si bien será posible la cesión no consentida de los datos en caso de que la misma se encuentre fundamentada en lo establecido por una norma con rango de Ley (artículo 11.2.a LOPD).
Así lo manifiesta la Agencia en su Informe Jurídico 0548/2009, que entiende que este supuesto se encuentra amparado por la Ley de Propiedad Horizontal, que en su artículo 16.2 establece que la convocatoria de la Junta de Propietarios “contendrá una relación de los propietarios que no estén al corriente en el pago de las deudas vencidas a la comunidad y advertirá de la privación del derecho de voto si se dan los supuestos previstos en el artículo 15.2”, lo que conlleva necesariamente el conocimiento de aquellos propietarios deudores, sin necesidad de recabar el consentimiento de los mismos.
Además, el artículo 9.1 h) señala la obligación de los propietarios de comunicar “el domicilio en España a efectos de citaciones y notificaciones de toda índole relacionadas con la comunidad (…) Si intentada una citación o notificación al propietario fuese imposible practicarla en el lugar prevenido en el párrafo anterior, se entenderá realizada mediante la colocación de la comunicación correspondiente en el tablón de anuncios de la comunidad, o en lugar visible de uso general habilitado al efecto”.
En consecuencia, siempre que la publicación obedezca al hecho de que la convocatoria de la Junta no haya podido ser notificada a alguno de los propietarios en su domicilio, la cesión que implica la publicación de la convocatoria en el tablón de anuncios se encontrará amparada por el artículo 11.2.a) de la LOPD.
Cesión de datos a vecinos por la Comunidad de propietarios para el control de gestión de las cuentas
La AEPD sigue el criterio indicado en el apartado anterior, y en su Informe 2009/0333 afirma que estaríamos ante otro caso de cesión de datos sin el consentimiento del interesado pero amparado por la Ley, y por tanto que excepciona la prestación del consentimiento, de acuerdo al artículo 11.2.a) de la LOPD. En esta ocasión, el precepto legal es el artículo 20 de la citada LPH, que enumera entre las obligaciones del Administrador las de “actuar, en su caso, como secretario de la Junta y custodiar a disposición de los titulares la documentación de la comunidad”. Por tanto, la Ley establece que la documentación de la comunidad estará “a disposición” de los titulares, siendo lícita la transmisión de los datos cuando la finalidad que justifique la comunicación de dicha documentación a los propietarios solicitantes se encuentre amparada por la Ley de Propiedad Horizontal.
En definitiva, las obligaciones que impone la LOPD y su Reglamento son de plena aplicación para las CP, que tienen la necesidad de adaptarse a las mismas de forma imperiosa, pues por la naturaleza de la actividad que desarrollan se encuentran expuestas permanentemente a situaciones de riesgo que pueden dar lugar a gravosas sanciones, que con una correcta adecuación a la Ley y la asunción de una serie de pautas disminuirían considerablemente.
Fuente: Informativos.net
Fecha: 29/06/2011
Aunque este problema se suele dejar en manos del Administrador, hay Comunidades de Propietarios pequeñas en las que no existe esta figura, y las cuales por supuesto también tienen la obligación de cumplir la LOPD. Así que tanto para aquellos Presidentes de Comunidad accidentales como para Administradores de Fincas no duchos en esta materia, pasamos a exponer las principales cuestiones que plantea adecuar las Comunidades de Propietarios (en adelante CP) a la Protección de Datos en España.
Como hemos advertido, las CP están obligadas a cumplir con la legislación en materia de Protección de Datos, pues tratan datos personales - como mínimo de los propietarios de las viviendas -, y además pueden contratar con proveedores, prestadores de servicios, incorporar cámaras de videovigilancia, etc. La AEPD ha impuesto no pocas sanciones a CP, precisamente por el desconocimiento general de la normativa, y la asimilación de usos y costumbres que atentan contra la ley pero que están ciertamente arraigados.
Cuando la Comunidad contrata los servicios de un Administrador de Fincas, éste (salvo excepciones) será Encargado de Tratamiento (tercero con acceso a datos) de los datos personales por cuenta del Responsable de Tratamiento, la CP. Esta relación debe figurar en un contrato (con independencia del contrato mercantil de prestación de servicios), que ha de contener las cláusulas establecidas en el artículo 12 de la LOPD. Se trata de un aspecto fundamental y prioritario a la hora de conseguir una correcta adecuación a la Ley, y sobre todo para delimitar responsabilidades y evitar posibles sanciones por actuaciones de terceros.
Una vez aclarados estos dos puntos, vamos a señalar las principales controversias que se plantean en la práctica, y las soluciones legales a las mismas:
Utilización de los datos personales de la CP para actividades de prospección comercial de empresas que trabajan principalmente con comunidades de propietarios.
Aquí se estarían tratando los datos personales de los propietarios con una finalidad distinta para la que fueron recabados, y comunicándose a terceros dichos datos, por lo que en ambos casos se requeriría el consentimiento de los afectados, que de no producirse podría constituir una infracción muy grave, sancionada hasta con 600.000 €. En principio la multa recaería sobre la CP, como Responsable del Tratamiento, pero si se cuenta con los servicios de un Administrador de fincas, y está firmado el preceptivo contrato de acceso de datos por cuenta de terceros citado anteriormente, la responsabilidad podría afectar a dicho Administrador si queda acreditada la existencia de un incumplimiento del contrato en el tratamiento y utilización de los datos, resultando la CP eximida de tal responsabilidad.
Publicación de datos de propietarios morosos en el tablón anuncios de la comunidad.
Es éste un supuesto bastante habitual sobre el que se ha pronunciado la AEPD en varias ocasiones. Siempre que se produzca esa publicación, habría una comunicación de datos personales, esto es, una revelación a persona distinta del interesado, la cual requiere el consentimiento del afectado, si bien será posible la cesión no consentida de los datos en caso de que la misma se encuentre fundamentada en lo establecido por una norma con rango de Ley (artículo 11.2.a LOPD).
Así lo manifiesta la Agencia en su Informe Jurídico 0548/2009, que entiende que este supuesto se encuentra amparado por la Ley de Propiedad Horizontal, que en su artículo 16.2 establece que la convocatoria de la Junta de Propietarios “contendrá una relación de los propietarios que no estén al corriente en el pago de las deudas vencidas a la comunidad y advertirá de la privación del derecho de voto si se dan los supuestos previstos en el artículo 15.2”, lo que conlleva necesariamente el conocimiento de aquellos propietarios deudores, sin necesidad de recabar el consentimiento de los mismos.
Además, el artículo 9.1 h) señala la obligación de los propietarios de comunicar “el domicilio en España a efectos de citaciones y notificaciones de toda índole relacionadas con la comunidad (…) Si intentada una citación o notificación al propietario fuese imposible practicarla en el lugar prevenido en el párrafo anterior, se entenderá realizada mediante la colocación de la comunicación correspondiente en el tablón de anuncios de la comunidad, o en lugar visible de uso general habilitado al efecto”.
En consecuencia, siempre que la publicación obedezca al hecho de que la convocatoria de la Junta no haya podido ser notificada a alguno de los propietarios en su domicilio, la cesión que implica la publicación de la convocatoria en el tablón de anuncios se encontrará amparada por el artículo 11.2.a) de la LOPD.
Cesión de datos a vecinos por la Comunidad de propietarios para el control de gestión de las cuentas
La AEPD sigue el criterio indicado en el apartado anterior, y en su Informe 2009/0333 afirma que estaríamos ante otro caso de cesión de datos sin el consentimiento del interesado pero amparado por la Ley, y por tanto que excepciona la prestación del consentimiento, de acuerdo al artículo 11.2.a) de la LOPD. En esta ocasión, el precepto legal es el artículo 20 de la citada LPH, que enumera entre las obligaciones del Administrador las de “actuar, en su caso, como secretario de la Junta y custodiar a disposición de los titulares la documentación de la comunidad”. Por tanto, la Ley establece que la documentación de la comunidad estará “a disposición” de los titulares, siendo lícita la transmisión de los datos cuando la finalidad que justifique la comunicación de dicha documentación a los propietarios solicitantes se encuentre amparada por la Ley de Propiedad Horizontal.
En definitiva, las obligaciones que impone la LOPD y su Reglamento son de plena aplicación para las CP, que tienen la necesidad de adaptarse a las mismas de forma imperiosa, pues por la naturaleza de la actividad que desarrollan se encuentran expuestas permanentemente a situaciones de riesgo que pueden dar lugar a gravosas sanciones, que con una correcta adecuación a la Ley y la asunción de una serie de pautas disminuirían considerablemente.
Fuente: Informativos.net
Fecha: 29/06/2011
El Instituto Nacional de Tecnologías de la Información (INTECO) se enfrenta a una multa de entre 40.001 y 300.000 euros
La violación de seguridad ocurrida en los sistemas del Instituto Nacional de Tecnologías de la Información (INTECO) podría saldarse con una multa de entre 40001 y 300000 euros por vulnerar el artículo 9 de la Ley Orgánica de Protección de Datos.
La normativa sobre protección de datos es muy clara al respecto en materia de seguridad de la información, considerando como "grave" el mantener los ficheros con datos personales sin las necesarias medidas de seguridad, así se consagra en el artículo 9 de la Ley Orgánica de Protección de Datos (LOPD), artículo que viene denominándose "principio de seguridad de los datos" que impone la obligación, en este caso a INTECO, de adoptar las medidas de índole técnica y organizativa que garanticen la seguridad de los datos, teniendo tales medidas la finalidad de evitar el acceso no autorizado a los datos por terceros, no bastando además la simple adopción de cualquier medida ya que como ha señalado la Audiencia Nacional deben ser las necesarias para garantizar los objetivos fijados en el precepto y que éstas se instauren y pongan en práctica de manera efectiva.
Es evidente que si se ha filtrado en Internet un fichero informático con algo más de 20000 registros con datos de carácter personal, las medidas de seguridad adoptadas por el INTECO no alcanzan ese mínimo exigido por la Ley, que impone una obligación de resultado: evitar accesos no autorizados.
Vulnerar este precepto, como se ha indicado, se considera una infracción grave cuya sanción de multa oscila entre 40001 y 300000 euros.
Hasta la fecha, la sanción más alta impuesta por la Agencia Española de Protección de Datos en temas relativos a la seguridad de la información le corresponde a la productora de televisión de Gran Hermano, habiendo sido sancionada hace unos años con una multa ligeramente superior al millón de euros.
Fuente: Legaltoday
Fecha: 27/06/2011
La normativa sobre protección de datos es muy clara al respecto en materia de seguridad de la información, considerando como "grave" el mantener los ficheros con datos personales sin las necesarias medidas de seguridad, así se consagra en el artículo 9 de la Ley Orgánica de Protección de Datos (LOPD), artículo que viene denominándose "principio de seguridad de los datos" que impone la obligación, en este caso a INTECO, de adoptar las medidas de índole técnica y organizativa que garanticen la seguridad de los datos, teniendo tales medidas la finalidad de evitar el acceso no autorizado a los datos por terceros, no bastando además la simple adopción de cualquier medida ya que como ha señalado la Audiencia Nacional deben ser las necesarias para garantizar los objetivos fijados en el precepto y que éstas se instauren y pongan en práctica de manera efectiva.
Es evidente que si se ha filtrado en Internet un fichero informático con algo más de 20000 registros con datos de carácter personal, las medidas de seguridad adoptadas por el INTECO no alcanzan ese mínimo exigido por la Ley, que impone una obligación de resultado: evitar accesos no autorizados.
Vulnerar este precepto, como se ha indicado, se considera una infracción grave cuya sanción de multa oscila entre 40001 y 300000 euros.
Hasta la fecha, la sanción más alta impuesta por la Agencia Española de Protección de Datos en temas relativos a la seguridad de la información le corresponde a la productora de televisión de Gran Hermano, habiendo sido sancionada hace unos años con una multa ligeramente superior al millón de euros.
Fuente: Legaltoday
Fecha: 27/06/2011
Suscribirse a:
Entradas (Atom)
Entradas
