Lima, 13 de noviembre de 2017

Transcripción

1 Expediente N JUS/DPDP-PS Resolución N JUS/DGTAIPDP-DPDP Lima, 13 de noviembre de 2017 VISTO: El recurso de reconsideración presentado el 28 de septiembre de 2017 por CEOP PRIVATEACHER INTERNATIONAL contra la Resolución Directoral N JUS/DGTAIPD-DPDP de fecha 31 de agosto de 2017, emitida por la Dirección de Protección de Datos Personales de la Dirección General de Transparencia Acceso a la Información Pública y Protección de Datos Personales. CONSIDERANDO: I. Antecedentes ZAS *ón de e e ció «e nales M. O NZALEZ 1. Mediante Resolución Directoral N JUS/DGPDP-DS de fecha 29 de agosto de 2016, notificada el 28 de septiembre de 2016, la Dirección de Sanciones resolvió iniciar procedimiento administrativo sancionador a CEOP PRIVATEACHER INTERNATIONAL, por la presunta comisión de las infracciones previstas en el literal a. del numeral 1 y literal a. del numeral 2 del artículo 38 de la Ley N 29733, Ley de Protección de Datos Personales (en adelante, LPDP), consideradas como infracciones leve y grave respectivamente, pasibles de ser sancionadas con multa. 2. El 20 de octubre de 2016, CEOP PRIVATEACHER INTERNATIONAL presentó sus descargos. 3. El 05 de enero de 2017 mediante Resolución Directoral N JUS/DGPDP-DS, notificada el 24 de febrero de 2017, la Dirección de Sanciones, en virtud a lo establecido en el artículo 122 del Reglamento de la LPDP, cerró la etapa instructiva del procedimiento administrativo sancionador, quedando expedito para ser resuelto. 4. Mediante Resolución Directoral N JUS/DGTAIPD-DPDP de fecha 31 de agosto de 2017, notificada el 07 de septiembre de 2017, la Dirección de Protección de Datos Personales resolvió sancionar a CEOP PRIVATEACHER INTERNATIONAL por lo siguiente: Página 1 de 9

2 - "Artículo 1.- Sancionar a CEOP PRIVATEACHER INTERNATIONAL con RUC N con la multa ascendente a cuatro unidades impositivas tributarias (4 UIT) por "Dar tratamiento a datos personales sin recabar el consentimiento de sus titulares, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley.", toda vez que se ha comprobado que CEOP PRIVATEACHER INTERNATIONAL mediante la opción "contáctanos" y "obtén más información" recopila datos personales de los usuarios de su sitio web edo.pe sin solicitar el consentimiento requerido conforme a ley, configurándose la infracción leve prevista en el literal a. del numeral 1 del artículo 38 de la Ley de Protección de Datos Personales'. Artículo 2.- Sancionar a CEOP PRIVATEACHER INTERNATIONAL con RUC N , con la multa ascendente a cinco punto un unidades impositivas tributarias (5.1 U17) por "Dar tratamiento a los datos personales contraviniendo los principios establecidos en la Ley o incumpliendo sus demás disposiciones o las de su Reglamento", toda vez que CEOP PRIVATEACHER INTERNATIONAL no ha puesto en conocimiento de la Dirección General de Protección de Datos Personales que realiza flujo transfronterizo de los datos personales de los usuarios del sitio web y de la plataforma "Privateacher Online English Course" littó://enalishonline.pehnicio configurándose la infracción grave prevista en el literal a. del numeral 2 del artículo 38 de la Ley de Protección de Datos Personales2. Artículo 3.- Sancionar a CEOP PRIVATEACHER INTERNATIONAL con RUC N con la multa ascendente a cinco punto cinco unidades impositivas tributarias (5.5 UIT) por "Dar tratamiento a los datos personales contraviniendo los principios establecidos en la Ley o incumpliendo sus demás disposiciones o las de su Reglamento", toda vez que CEOP PRIVATEACHER INTERNATIONAL no ha implementado las medidas de seguridad adecuadas para el resguardo de los datos personales de sus alumnos, contraviniendo lo establecido en el artículo 39 del Reglamento de la LPDP, así como también el principio de seguridad recogido en el artículo 9 de la LPDP, configurándose la infracción grave prevista en el literal a. del numeral 2 del artículo 38 de la Ley de Protección de Datos Personales. (..9" 5. El 28 de septiembre de 2017, dentro del plazo establecido en el artículo 216 del Texto Único Ordenado de la Ley N 27444, Ley del Procedimiento Administrativo General, aprobado por Decreto Supremo N JUS (en adelante, TUO de la LPAG), CEOP PRIVATEACHER INTERNATIONAL presentó recurso de reconsideración contra la Resolución Directoral N JUS/DGTAIPD- DPDP, señalando lo siguiente: - Todo dato recopilado o transferido está directamente vinculado al ejercicio de las funciones educativas correspondientes y el numeral 5 del artículo 14 de LPDP, modificado según Decreto Legislativo N 1353 excluye de la obligación de requerir el consentimiento cuando los datos personales sean necesarios para la preparación, celebración y ejecución de una relación contractual. Queda demostrado que ha sido subsanada la probable omisión, de manera que todo usuario que acceda a la web solo podrá enviar los formularios si manifiesta expresamente que leyó y aceptó las Políticas de Privacidad; asimismo, en la Plataforma "Privateacher Online English" se está informando a los titulares de los datos personales conforme al artículo 18 de la LPDP. Artículo 38.- Infracciones: Constituye infracción sancionable toda acción u omisión que contravenga o incumpla alguna de las disposiciones contenidas en esta Ley o en su reglamento. Las infracciones se califican como leves, graves y muy graves. 1. Son infracciones leves: a. Dar tratamiento a datos personales sin recabar el consentimiento de sus titulares, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley. 'Artículo 38. Infracciones 2. Son infracciones graves: a. Dar tratamiento a los datos personales contraviniendo los principios establecidos en la presente Ley o incumpliendo sus demás disposiciones o las de su Reglamento. (...) Página 2 de 9

3 - Que el servicio de hosting se ubique fuera del Perú no es una opción ni la mejor alternativa del mercado, es tan solo la manera cómo funciona el internet, la Plataforma "Privateacher Online English" se trata de un curso online, que implica que ha sido concebido para usuarios ubicados en cualquier lugar, por lo que no podrían determinar si los datos tienen origen en el Perú. Asimismo, señalan que no transfieren información, por lo menos no de manera intencional, lo que tienen es un contrato de hosting. - Con la impresión de los formularios de "Modificación de datos en el Registro Nacional de Protección de Datos Personales y de comunicación de realización de flujo transfronterizo de datos personales", se acredita que ha sido subsanada la probable omisión. Respecto a las medidas de seguridad adoptadas para el manejo de los datos automatizados y no automatizados se han desarrollado políticas y procedimientos de seguridad de la información, las cuales están contenidas en el documento de seguridad del banco de datos denominado "clientes y alumnos" (inscripción RNPDP N 1960); asimismo, presentan el documento "Sistema de gestión y control del dictado de clases, arquitectura del registro de interacción lógica". Como nuevos medios probatorios para sustentar el recurso de reconsideración presentan: A. Captura de pantalla de la web B. Captura de pantalla de la web C. Copia del formulario "Modificación de datos en el Registro Nacional de datos personales. D. Copia del formulario "Comunicación de realización de flujo transfronterizo de datos personales" (transferencia internacional). E. Copia de 27 compromisos de confidencialidad en el tratamiento de datos personales. F. Copia del documento de seguridad del banco de datos denominado "clientes y alumnos" (inscripción RNPDP N 1960). G. Copia del documento "Sistema de gestión y control de dictado de clases. Arquitectura del registro de interacción lógica". II. Competencia 6. La Dirección de Protección de Datos Personales, conforme a lo establecido en el artículo 217 del TUO de la LPAG3 es competente para resolver el recurso de ' -Articulo Recurso de reconsideración El recurso de reconsideración se interpondrá ante el mismo órgano que dictó el primer acto que es materia de la impugnación y deberá sustentarse en nueva prueba. En los casos de actos administrativos emitidos por órganos que Página 3 de 9

4 reconsideración interpuesto por CEOP PRIVATEACHER INTERNATIONAL contra el acto administrativo que lo sanciona. III. Análisis 7. El artículo 217 del TUO de la LPAG, regula la obligación formal de sustentar el recurso de reconsideración en nueva prueba, sustentándose en el hecho que es el mismo órgano que resolvió en primera instancia, quien resuelve el citado recurso. Por tanto, la fundamentación de este recurso radica en la nueva prueba instrumental que el recurrente debe aportar necesariamente como requisito para admitir su tramitación y que permita sustentar alguna diferente opinión de la Administración. 8. De lo expuesto precedentemente, se tiene que una nueva prueba para ser considerada como tal, requiere, además de constituir un medio probatorio, que no obre en el expediente y que no haya sido valorada por la autoridad administrativa. 9. Al respecto, el recurrente sustenta como nuevas pruebas: 1) Capturas de pantalla de la web privateacher.edu.pe y de la Plataforma "Privateacher Online English" donde se informa a los titulares de datos personales conforme al artículo 18 de la LPDP, 2) Copia del formulario "Modificación de datos en el Registro Nacional de datos personales, donde se comunica de la realización de flujo transfronterizo, 3) Copia de 27 compromisos de confidencialidad en el tratamiento de datos personales, 4) Copia del documento de seguridad del banco de datos denominado "clientes y alumnos" (inscripción RNPDP N 1960) y 5) Copia del documento "Sistema de gestión y control de dictado de clases. Arquitectura del registro de interacción lógica". Alegan haber tomado medidas administrativas y de gestión con la finalidad de acogerse a las atenuantes del artículo 126 del Reglamento de la LPDP. 10. Resulta necesario precisar que los documentos presentados por el recurrente a través del recurso de reconsideración como nuevas pruebas, constituyen acciones de enmienda destinadas a permitir la reducción motivada de la sanción, las cuales habrían sido realizadas de manera posterior a la emisión de la Resolución Directoral N JUS/DGTAIPD-DPDP de fecha 31 de agosto de 2017; por lo tanto, no pueden ser consideradas como nuevas pruebas. 11. En consecuencia, se verificó que CEOP PRIVATEACHER INTERNATIONAL no ha aportado nuevos hechos o pruebas que permitan reconsiderar su validez, tal como lo dispone el artículo 217 del TUO de la LPAG, por lo que, corresponde declarar improcedente el recurso de reconsideración formulado contra la citada resolución. 12. Por otro lado, en el presente procedimiento se ha sancionado a CEOP PRIVATEACHER INTERNATIONAL mediante la Resolución Directoral N JUS/DGTAIPD-DPDP de fecha 31 de agosto de 2017, estando vigentes las infracciones señaladas en el artículo 38 de la LPDP, imponiéndosele las siguientes sanciones: (i) cuatro unidades impositivas tributarias (4 UIT) por infracción leve prevista en el literal a. del numeral 1 del artículo 38 de la LPDP, (ii) cinco punto un unidades impositivas tributarias (5.1 UIT) y cinco punto cinco constituyen única instancia no se requiere nueva prueba. Este recurso es opcional y su no interposición no impide el ejercicio del recurso de apelación." Página 4 de 9

5 ex.ica 05. <(/ unidades impositivas tributarias (5.5 UIT) por infracciones graves previstas en el literal a. del numeral 2 del artículo 38 de la LPDP. 13. Al respecto, en cuanto al numeral (i) del párrafo precedente, referido a la infracción leve sancionada con multa de 4 UIT, por recopilar datos personales de los usuarios del sitio web sin solicitar el consentimiento de los titulares de los datos personales, cabe señalar que el numeral 5 del artículo 14 de la LPDP, modificado mediante la Tercera Disposición Complementaria Modificatoria del Decreto Legislativo N 13534, establece como excepción a la obligación de solicitar consentimiento: "5. Cuando los datos personales sean necesarios para la preparación, celebración y ejecución de una relación contractual en la que el titular de datos personales sea parte, o cuando se trate de datos personales que deriven de una relación científica o profesional del titular y sean necesarios para su desarrollo o cumplimiento." (El subrayado es nuestro) 14. En el presente caso, la información era entregada por los usuarios de la web de CEOP PRIVATEACHER INTERNATIONAL para preparar o iniciar una relación contractual, por lo tanto no se requiere el consentimiento para su tratamiento para la finalidad mencionada. No obstante, si bien no se requiere el consentimiento para los tratamientos de los datos personales entregados a CEOP PRIVATEACHER INTERNATIONAL para pedir información sobre sus servicios a través de la página web, sí es necesario que se cumpla con los demás principios establecidos en la LPDP. 15. Al respecto, el artículo 18 de la LPDP establece el contenido del derecho de información de la siguiente manera: "Artículo 18. Derecho de información del titular de datos personales.- El titular de datos personales tiene derecho a ser informado en forma detallada, sencilla, expresa, inequívoca y de manera previa a su recopilación, sobre la finalidad para la que sus datos personales serán tratados; quiénes son o pueden ser sus destinatarios, la existencia del banco de datos en que se almacenarán, así como la identidad y domicilio de su titular y, de ser el caso, del o de los encargados del tratamiento de sus datos personales; el carácter obligatorio o facultativo de sus respuestas al cuestionario que se le proponga, en especial en cuanto a los datos sensibles; la transferencia de los datos personales; las El Decreto Legislativo N 1353 entró en vigencia el 16 de septiembre de Página 5 de 9

6 consecuencias de proporcionar sus datos personales y de su negativa a hacerlo; el tiempo durante el cual se conserven sus datos personales; y la posibilidad de ejercer los derechos que la ley le concede y los medios previstos para ello. Si los datos personales son recogidos en línea a través de redes de comunicaciones electrónicas, las obligaciones del presente artículo pueden satisfacerse mediante la publicación de políticas de privacidad, las que deben ser fácilmente accesibles e identificables. (...)". (El subrayado es nuestro) 16. En ese sentido, se ha verificado que en la página web a través de las "Políticas de Privacidad" CEOP PRIVATEACHER INTERNATIONAL ha cumplido con la obligación de informar a los usuarios de dicha página en forma detallada, sencilla, expresa, inequívoca y de manera previa a su recopilación. Por lo tanto, no se habría configurado la infracción señalada en el literal a) del numeral 1 del artículo 38 de la LPDP. 17. De otro lado, mediante Decreto Supremo N JUS de fecha 15 de septiembre de 2017, se aprobó el Reglamento del Decreto Legislativo N 1353 que crea la Autoridad Nacional de Transparencia y Acceso a la Información Pública, fortalece el Régimen de Protección de Datos Personales y la regulación de la gestión de intereses. 18. La Tercera Disposición Complementaria Modificatoria del mencionado reglamento incorpora el capítulo de infracciones al Título VI del Reglamento de la LPDP, agregando el artículo 132 que tipifica las infracciones Al respecto, en cuanto a lo señalado en el numeral (ii) del considerando 12 de la presente resolución, las infracciones aplicadas a CEOP PRIVATEACHER INTERNATIONAL mediante Resolución Directoral N JUS/DGTAIPD- DPDP de fecha 31 de agosto de 2017 son graves, en tanto, la normativa que ha entrado en vigencia después de la emisión de la citada resolución, considera dichas infracciones como leves. 20. El artículo 39 de la LPDP dispone que las infracciones leves son sancionadas con multa desde cero coma cinco de una unidad impositiva tributaria (0,5 UIT) hasta cinco unidades impositivas tributarias (5 UIT) y la infracciones graves son sancionadas con multa desde más de cinco unidades impositivas tributarias (5 UIT) hasta cincuenta unidades impositivas tributarias (50 UIT). 21. El principio de irretroactividad dispone que son "Son aplicables las disposiciones sancionadoras vigentes en el momento de incurrir el administrado en la conducta a sancionar, salvo que las posteriores le sean más favorables. Las disposiciones sancionadoras producen efecto retroactivo en cuanto favorecen al presunto 5 Tercera.- Incorporación del Capítulo IV de Infracciones al Título VI de Infracciones y Sanciones al Reglamento de la Ley N 29733, Ley de Protección de Datos Personales. Incorpórese el Capítulo IV de Infracciones al Título VI al Reglamento de la de la Ley N 29733, Ley de Protección de Datos Personales, aprobado por el Decreto Supremo N JUS, en los siguientes términos: TÍTULO VI INFRACCIONES Y SANCIONES CAPÍTULO IV INFRACCIONES Artículo Infracciones Las infracciones a la Ley N 29733, Ley de Protección de Datos Personales, o su Reglamento se califican como leves. graves y muy graves y se sancionan con multa de acuerdo al artículo 39 de la citada Ley. (---) Página 6 de 9

7 infractor o al infractor, tanto en lo referido a la tipificación de la infracción como a la sanción y a sus plazos de prescripción, incluso respecto de las sanciones en ejecución al entrar en vigor la nueva disposición"(ei subrayado es nuestro). 22. Por tanto, en atención al principio de irretroactividad6 que rige la potestad sancionadora, al haber entrado en vigencia la Tercera Disposición Complementaria Modificatoria del Reglamento del Decreto Legislativo N 1353, se procederá a reformar la Resolución Directoral N JUS/DGTAIPD- DPDP para aplicar la sanción más favorable a CEOP PRIVATEACHER INTERNATIONAL. razhe ' ón de ión de sonales Ak M ON ALEZ L Por las consideraciones expuestas y de conformidad con lo dispuesto por la Ley N 29733, Ley de Protección de Datos Personales, su reglamento aprobado por el Decreto Supremo N JUS, el Texto Único Ordenado de la Ley N 27444, Ley del Procedimiento Administrativo General, aprobado por Decreto Supremo N JUS, y el Reglamento del Decreto Legislativo N 1353 que crea la Autoridad Nacional de Transparencia y Acceso a la Información Pública, fortalece el Régimen de Protección de Datos Personales y la regulación de la gestión de intereses aprobado por Decreto Supremo N JUS; SE RESUELVE: Artículo 1.- Declarar IMPROCEDENTE el recurso de reconsideración interpuesto por CEOP PRIVATEACHER INTERNATIONAL contra la Resolución Directoral N JUS/DGTAIPD-DPDP de fecha 31 de agosto de 2017, de acuerdo a los considerandos expuestos en la presente resolución. Artículo 2.- Aplicar el principio de irretroactividad de la potestad sancionadora a las sanciones en ejecución impuestas a CEOP PRIVATEACHER INTERNATIONAL 6 Texto Único Ordenado de la Ley N 27444, Ley del Procedimiento Administrativo General, aprobado por Decreto Supremo N JUS: Artículo Principios de la potestad sancionadora administrativa La potestad sancionadora de todas las entidades está regida adicionalmente por los siguientes principios especiales: (---) 5.- Irretroactividad.- Son aplicables las disposiciones sancionadoras vigentes en el momento de incurrir el administrado en la conducta a sancionar, salvo que las posteriores le sean más favorables. Las disposiciones sancionadoras producen efecto retroactivo en cuanto favorecen al presunto infractor o al infractor, tanto en lo referido a la tipificación de la infracción como a la sanción y a sus plazos de prescripción, incluso respecto de las sanciones en ejecución al entrar en vigor la nueva disposición. Página 7 de 9

8 mediante la Resolución Directoral N JUS/DGTAIPD-DPDP de fecha 31 de agosto de 2017; y reformándola disponer: Declarar la inexistencia de la infracción leve descrita en el literal a. del numeral 1 del artículo 38 de la LPDP, esto es "Dar tratamiento a datos personales sin recabar e! consentimiento de sus titulares, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley", toda vez que la información era entregada por los usuarios de la página web para preparar o iniciar una relación contractual, razón por la cual dicho tratamiento se encuentra dentro del supuesto de exención del consentimiento, señalado en el numeral 5 del artículo 14 de la LPDP. Sancionar a CEOP PRIVATEACHER INTERNATIONAL con RUC N con la multa ascendente a dos unidades impositivas tributarias (2 UIT) por "No inscribir o actualizar en el Registro Nacional los actos establecidos en el artículo 34 de la Ley.", toda vez que no ha puesto en conocimiento de la Dirección General de Protección de Datos Personales que realizar flujo transfronterizo de los datos personales de los usuarios del sitio web y de la plataforma "Privateacher Online English Course" configurándose la infracción leve prevista en el literal e. del numeral 1 del artículo 132 del Reglamento de la LPDP7. Sancionar a CEOP PRIVATEACHER INTERNATIONAL con RUC N con la multa ascendente a tres unidades impositivas tributarias (3 UIT) por "Realizar tratamiento de datos personales incumpliendo las medidas de seguridad establecidas en la normativa sobre la materia", toda vez que no ha implementado las medidas de seguridad adecuadas para el resguardo de los datos personales de sus alumnos, contraviniendo lo establecido en el artículo 39 del Reglamento de la LPDP, configurándose la infracción leve prevista en el literal a. del numeral 1 del artículo 132 del Reglamento de la LPDP8. Artículo 3.- Notificar a CEOP PRIVATEACHER INTERNATIONAL que contra la presente resolución, de acuerdo a lo indicado en el artículo 216 del Texto Único Ordenado de la Ley N 27444, Ley del Procedimiento Administrativo General, aprobado por Decreto Supremo N JUS, procede el recurso de apelación dentro de los quince (15) días de notificada la presentes. Artículo 4.- El pago de la multa será requerido una vez que la resolución que impone la sanción quede firme. En el requerimiento de pago se le otorgará diez (10) días hábiles para realizarlo y se entiende que cumplió con pagar la multa impuesta, si antes de que venza el plazo establecido en el requerimiento de pago, cancela el 60% Artículo Infracciones Las infracciones a la Ley N` 29733, Ley de Protección de Datos Personales, o su Reglamento se califican como leves. graves y muy graves y se sancionan con multa de acuerdo al artículo 39 de la citada Ley. 1. Son infracciones leves (...) e) No inscribir o actualizar en el Registro Nacional los actos establecidos en el artículo 34 de la Ley. Articulo Infracciones 1. Son infracciones leves a) Realizar tratamiento de datos personales incumpliendo las medidas de seguridad establecidas en la normativa sobre la materia. 9 Artículo 216. Recursos administrativos Los recursos administrativos son: a) Recurso de reconsideración b) Recurso de apelación Solo en caso que por ley o decreto legislativo se establezca expresamente, cabe la interposición del recurso administrativo de revisión El término para la interposición de los recursos es de quince (15) días perentorios, y deberán resolverse en el plazo de treinta (30) días. Página 8 de 9

9 0 ) <(.% DES de la multa impuesta conforme a lo dispuesto en el artículo 128 del Reglamento de la LPDPI. Artículo 5.- Notificar a CEOP PRIVATEACHER INTERNATIONAL la presente resolución. Regístrese y comuníquese. 11r MARIA ALEJAND EZ LUNA Directora (e) de la D' se de Protección de p. rsonales Ministerio Justicia y Derechos Humanos I Artículo Incentivos para el pago de la sanción de multa. Se considerará que el sancionado ha cumplido con pagar la sanción de multa si, antes de vencer el plazo otorgado para pagar la multa, deposita en la cuenta bancaria determinada por la Dirección General de Protección de Datos Personales el sesenta por ciento (60%) de su monto. Para que surta efecto dicho beneficio deberá comunicar tal hecho a la Dirección General de Protección de Datos Personales, adjuntando el comprobante del depósito bancario correspondiente. Luego de dicho plazo, el pago sólo será admitido por el íntegro de la multa impuesta. Página 9 de 9