A-00018-2016

1/8 Procedimiento Nº: A/00018/2016 RESOLUCIÓN: R/00972/2016 En el procedimiento A/00018/2016, instruido por la Agencia Española de Protección de Datos a la entidad SEGURIBER S.L.U, vista la denuncia presentada por Don A.A.A., y en virtud de los siguientes ANTECEDENTES PRIMERO: Con fecha de 2 de marzo de 2015 tiene entrada en esta Agencia un escrito remitido por Don A.A.A., en el que declara lo siguiente: Que en fecha 11 de febrero de 2015, recibió un correo electrónico remitido por su empresa, SEGURIBER, S.L.U., en el que le comunican varios hechos y al que se adjunta su nómina del mes de Septiembre de 2014. El correo electrónico viene remitido por la responsable del Departamento de Administración de la Delegación de SEGURIBER-UMANO en Galicia. Que al revisar el mencionado correo electrónico comprueba que también ha sido enviado a otro destinatario con dirección C.C.C., quien resulta ser otro trabajador de la empresa de nombre B.B.B., quien ese mismo día se pone en contacto con él para comunicarle que ha recibido un correo electrónico con su nómina personal y con un texto que no le atañe. Que ese mismo día, 11 de febrero de 2015, presentó consulta ante la Agencia Española de Protección de Datos para que se me confirme si este hecho de enviar mi nómina personal a otra persona sin mi consentimiento, supone una infracción en materia de Protección de Datos por parte de la empresa en la que trabajo o por parte de la persona que ha realizado dicho envío. Que en fecha 20 de febrero de 2015 recibe contestación de la Agencia Española de Protección de Datos confirmándole que los hechos constituyen una infracción grave e indicándole los pasos a seguir para proceder a denunciar. Que ese mismo día procede a enviar un email a la remitente del correo electrónico, comunicándole que el hecho de enviar a un tercero su nómina personal sin su consentimiento constituye una infracción en materia de Protección de Datos y que por tanto va a proceder a denunciar tales hechos. Añade que no ha recibido ninguna comunicación por parte de la responsable del Departamento de Administración de la Delegación de SEGURIBER-UMANO en Galicia, ni por parte de SEGURIBER S.L.U., explicando el motivo de enviar mi nómina personal a una tercera persona sin su consentimiento. Por todo lo expuesto, solicita que los hechos descritos sean sancionados de acuerdo a la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) por vulneración de lo establecido en su artículo 10 y en aquellos otros que pudieran proceder, dirigiéndose la sanción contra la responsable del Departamento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 de Administración de la Delegación de SEGURIBER-UMANO en Galicia por ser la autora de los hechos descritos y si procede contra el responsable del fichero cuya identidad desconozco. Junto a la denuncia aporta la siguiente documentación:  Copia de su DNI.  Copia del correo electrónico, de fecha 11 de febrero de 2015, en el que se adjunta la nómina de septiembre de 2014 del denunciante enviado también a otra persona.  Copia de la nómina del denunciante correspondiente a septiembre de 2014.  Copia del correo electrónico, de fecha 20 de febrero de 2015, enviado por el denunciante a la remitente del correo, en el que pone de manifiesto el envío de su nómina a un tercero sin su consentimiento.  Copia del escrito, de fecha 20 de febrero de 2015, remitido por el Área de Atención al Ciudadano de la Agencia Española de Protección de Datos en contestación a su consulta sobre la comunicación de su nómina a un tercero sin su consentimiento. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. En fecha de 11 de junio de 2015 se solicita información a SEGURIBER quien remite escrito de respuesta recibido en fecha de 26 de junio de 2015 del que se desprende lo siguiente: 1.1. Alega SEGURIBER que el envío de la nómina relativa al Sr. A.A.A. con copia al Sr. B.B.B. es fruto de un error que justifican con la siguiente argumentación: 1.1.1.Según SEGURIBER tanto el Sr. A.A.A. como el Sr. B.B.B. son compañeros de trabajo empleados de la entidad que desempeñan sus funciones como vigilantes de seguridad estando ambos asignados en el mismo centro de trabajo, motivo por el que todas las instrucciones laborales de coordinación, cuadrantes horarios, etc. siembre han ido remitidas a ambos sin que de hecho fueran enviadas en copia oculta, puesto que, señala la entidad, ambos eran partícipes del asunto que se debía comunicar. Como prueba de lo anterior la entidad aporta diversos correos electrónicos donde se aprecia el envío de instrucciones conjuntas dirigidas tanto para el Sr. A.A.A. como para el Sr. B.B.B. en el mismo correo electrónico. 1.1.2.Añade la entidad que el Sr. A.A.A. fue sancionado por la empresa al haberse apreciado que había cometido una falta grave, sanción con la que no estuvo conforme el afectado que inició un procedimiento de orden social, en fecha de 1/9/2014, demandando la revocación de la sanción impuesta. La sanción consistió en dos días de empleo y sueldo. 1.1.3.En fecha de 31/10/2014 se dictó sentencia en el citado procedimiento, de la que se ha adjuntado copia, en la que se apreciaba una falta de carácter C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 leve en lugar de grave, recogiendo la sentencia la anulación de la sanción de dos días de empleo y sueldo y su sustitución por una sanción de carácter leve. 1.1.4.Continua SEGURIBER informando que en fecha 11/2/2015 recibió una Providencia del Juzgado de lo Social nº 1 de Ourense, de la que se adjunta copia, por la que se instaba la rectificación de la baja de los días de empleo y sueldo en la Seguridad Social. Dicha Providencia añade la entidad, venia acompañada del escrito presentado por el representante del Sr. A.A.A. en el que se indicaba que a su representado no se le había enviado ninguna nómina para firmar. Dicho escrito a juicio de la entidad, ocasionó una reacción espontánea de la empleada que remite el correo electrónico objeto de la denuncia, y en el que se remite la nómina al Sr. A.A.A. y, por error, al Sr. B.B.B. compañero de éste, como si se tratase de una comunicación normal de trabajo a los dos empleados relacionada con su puesto de trabajo. 1.1.5.Señala la entidad que a la vista de los hechos ocurridos ha procedido a emitir un Comunicado dirigido a todos los delegados y personal administrativo estableciendo la prohibición de la Dirección de la empresa de enviar nóminas por correo electrónico. 1.1.6.Finalmente expone la entidad que en caso de que se observe una posible infracción en los hechos descritos se aperciba a la empresa por los siguientes motivos: 1.1.6.1.“La posible infracción no tiene carácter de continuada. 1.1.6.2.El volumen del tratamiento afectado es reducido, puesto que se ha producido un único envío. 1.1.6.3.SEGURIBER no ha obtenido ningún beneficio. 1.1.6.4.No puede apreciarse intencionalidad por parte de SEGURIBER. Asimismo, la persona que envió el correo ya manifiesta en su comunicación que existen medios al alcance del empleado para obtener su nómina que no exigen su envío por correo electrónico. 1.1.6.5.SEGURIBER no es reincidente en la comisión de este tipo de infracciones. 1.1.6.6.La naturaleza del perjuicio al interesado: El contenido de la nómina del SR. A.A.A. tienen el mismo contenido que la nómina del Sr. B.B.B., puesto que ambos tienen la misma categoría profesional. 1.1.6.7.La existencia del Portal del Empleado permite acreditar que con anterioridad existen procedimientos adecuados para el tratamiento de las nóminas de los empleados que no pasan por enviar su nómina por correo electrónico. De este modo, el envío de la nómina de Sr. A.A.A. al Sr. B.B.B. puede ser considerado como consecuencia de una anomalía y no atribuible a un posible falta de diligencia. 1.1.6.8.Debe considerarse como una circunstancia relevante para determinar la inexistencia de culpabilidad en relación a los hechos, la reacción espontánea de la empleada que, actuando por error, remite el menaje de correo a las dos direcciones habituales de envío de comunicados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 1.1.6.9.Se han adoptado medidas tendentes a prevenir hechos como el acontecido, mediante la remisión de la Circular estableciendo la prohibición de envío de nóminas por correo electrónico”. TERCERO: Con fecha 18 de febrero de 2016, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00018/2016. Dicho acuerdo fue notificado al denunciante y al denunciado. CUARTO: Notificado de audiencia previa, se recibe en esta Agencia un escrito del denunciado en el que comunica: 1. Que está de acuerdo con los hechos expuestos en el Acuerdo de Audiencia Previa. 2. Se han adoptado medidas cautelares para evitar que pueda remitirse la nómina por correo electrónico a persona diferente al interesado. Se ha prohibido el envío de nóminas por correo salvo solicitud firmada por el interesado. No se ha producido ninguna petición. Aceptarían cualquier medida complementaria que impusiese la Agencia. HECHOS PROBADOS PRIMERO: Consta que el denunciante de este procedimiento recibió un correo electrónico remitido por su empresa, SEGURIBER, S.L.U. el 11 de febrero de 2015, en el que le comunican varios hechos y se adjunta su nómina del mes de Septiembre de 2014. El correo electrónico lo envía la responsable del Departamento de Administración de la Delegación de SEGURIBER-UMANO en Galicia. Este correo electrónico se envía a otro destinatario que también es trabajador de la empresa quien ese mismo día se pone en contacto con él para comunicarle que ha recibido un correo electrónico con su nómina personal y con un texto que no le atañe. SEGUNDO: La entidad SEGURIBER ha manifestado que el envío de la nómina del Sr. A.A.A. con copia al Sr. B.B.B. fue un error. Según SEGURIBER ambas personas son compañeros de trabajo destinados en el mismo centro, por lo que todas las instrucciones laborales se remiten a ambos sin copia oculta, porque ambos son partícipes del asunto que se comunica. El Sr. A.A.A. fue sancionado por la empresa, motivo por el que inició un procedimiento de orden social que concluyó mediante sentencia en la que se anulaba la sanción de dos días de empleo y sueldo impuesta por la empresa y se sustituía por una sanción de carácter leve. TERCERO: Informa la entidad que recibió una Providencia del Juzgado de lo Social nº 1 de Ourense, de la que se adjunta copia, por la que se instaba la rectificación de la baja de los días de empleo y sueldo en la Seguridad Social. La Providencia, añade la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 entidad, venia acompañada del escrito presentado por el representante del Sr. A.A.A. en el que se indicaba que a su representado no se le había enviado ninguna nómina para firmar. Este escrito a juicio de la entidad, ocasionó una reacción espontánea de la empleada que remite el correo electrónico objeto de la denuncia, y en el que se remite la nómina al Sr. A.A.A. y, por error, al Sr. B.B.B. compañero de éste, como si se tratase de una comunicación normal de trabajo a los dos empleados relacionada con su puesto de trabajo. CUARTO: Señala la entidad que a la vista de los hechos ocurridos ha procedido a emitir un Comunicado dirigido a todos los delegados y personal administrativo estableciendo la prohibición de la Dirección de la empresa de enviar nóminas por correo electrónico. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II El artículo 10 de la LOPD, establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de los mismos. En este sentido, la Sentencia de la Audiencia Nacional de fecha 18/01/02, recoge en su Fundamento de Derecho Segundo, segundo y tercer párrafo: “El deber de secreto profesional que incumbe a los responsables de ficheros automatizados, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable … no puede revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero automatizado o, en su caso, con el responsable del mismo” (artículo 10 citado). Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente, como el teléfono de contacto, no pueden ser conocidos por ninguna persona o entidad, pues en eso consiste precisamente el secreto.” “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. El deber de secreto profesional que incumbe a los responsables de los ficheros, recogido en el artículo 10 de la LOPD, comporta que el responsable o quienes intervengan en cualquier fase del tratamiento de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y por lo que ahora interesa, comporta que los datos tratados automatizadamente o no, no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. En este caso concreto, la entidad Seguriber envió un correo electrónico con datos personales del denunciante, su nómina, a un compañero de trabajo. La entidad denunciada ha manifestado que el incidente se debió a un error que se produjo porque ambas personas son compañeros de trabajo a quienes se remiten las instrucciones laborales sin copia oculta, porque ambos son partícipes del asunto que se comunica. Manifiesta la entidad que un escrito recibido desde un juzgado de lo social, a su juicio, fue lo que ocasionó una reacción espontánea de la empleada que remite el correo electrónico objeto de la denuncia, y en el que se remite la nómina al denunciante y, por error, a su compañero de trabajo, como si se tratase de una comunicación normal de trabajo a los dos empleados relacionada con su puesto de trabajo. Señala la entidad que a la vista de estos hechos ha procedido a emitir un Comunicado dirigido a todos los delegados y personal administrativo estableciendo la prohibición de la Dirección de la empresa de enviar nóminas por correo electrónico. Notificado el acuerdo de audiencia previa la entidad denunciada ha manifestado que en el momento en que tuvieron conocimiento de los hechos, han tomado las medidas y cautelas necesarias para que no vuelva a suceder, principalmente que no se envían por correo electrónico las nóminas, salvo solicitud escrita del empleado. En consecuencia, deben estimarse adoptadas ya las medidas correctoras pertinentes en el caso por lo que debe procederse a resolver el archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la entidad denunciada, en aplicación de la interpretación del artículo 45.6 de la LOPD, atendida su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 interpretación sistemática y teleológica. III El artículo 45.6 de la LOPD, introducido a través de la reforma operada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, dispone: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
2. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
3. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” Trasladando las consideraciones expuestas al supuesto que nos ocupa, se observa que la infracción de la LOPD de la que se responsabiliza a la denunciada es una infracción “grave”; que la entidad denunciada no ha sido sancionada o apercibida por este organismo en ninguna ocasión anterior; y que concurren de manera significativa varias de las circunstancias descritas en el artículo 45.5 de la LOPD. Todo ello, unido a la naturaleza de los hechos que nos ocupan, justifica que la AEPD no acuerde la apertura de un procedimiento sancionador y que opte por aplicar el artículo 45.6 de la LOPD. Ahora bien, es obligado hacer mención a la Sentencia de la Audiencia Nacional de 29/11/2013, (Rec. 455/2011), Fundamento de Derecho Sexto, que sobre el apercibimiento regulado en el artículo 45.6 de la LOPD y a propósito de su naturaleza jurídica advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella y cuyo objeto es la imposición de medidas correctoras, la SAN citada concluye que cuando no se requieran medidas correctoras, lo procedente en Derecho es acordar el archivo de las actuaciones. En este caso concreto, atendida la naturaleza de la infracción consistente en un hecho puntual que no admite corrección ni la adopción de una concreta medida correctora, debe procederse en consecuencia, a resolver el archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la entidad denunciada, en aplicación de la interpretación del artículo 45.6 de la LOPD, atendida su interpretación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 sistemática y teleológica. Recordando que la reiteración en conductas como la denunciada constituye un supuesto sobre el que concurren las circunstancias previstas para la aplicación del régimen sancionador contemplado en la LOPD. A la vista del pronunciamiento recogido en la SAN de 29 de noviembre de 2013 (Rec. 455/2011) de acuerdo con lo señalado se debe proceder al archivo de las actuaciones. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR (A/00018/2016) las actuaciones practicadas a la entidad SEGURIBER S.L.U, con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
4. d)de la citada Ley Orgánica. 2.- NOTIFICAR el presente Acuerdo a la entidad SEGURIBER S.L.U. 3.- NOTIFICAR el presente Acuerdo a Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es