A-00036-2018

1/7 Procedimiento Nº: A/00036/2018 RESOLUCIÓN: R/00453/2018 En el procedimiento A/00036/2018, instruido por la Agencia Española de Protección de Datos a la entidad ORITIA & BOREAS, S.L., vista la denuncia presentada por Don B.B.B. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 18 de septiembre de 2017 tiene entrada en esta Agencia una denuncia presentada por Don B.B.B. (en lo sucesivo, el denunciante), en la que manifiesta lo siguiente: 1. La empresa denunciada ha facilitado, sin su consentimiento, a su ex esposa, Doña A.A.A., copia de una demanda de conciliación entre la citada empresa y el denunciante por un tema laboral y económico. 2. Su ex esposa ha utilizado esta información en la demanda de divorcio y adopción de medidas que se sigue en un Juzgado de ***LOC.1, mediante un documento de contestación a la demanda en el que se cita lo siguiente: “Mi representada ha tenido conocimiento de que el Sr. B.B.B. ha presentado demanda de conciliación frente a la empresa ORITIA & BOREAS en reclamación de cantidades y reconocimiento de relación laboral. En la papeleta de conciliación presentada por el hoy actor y cuya copia ha sido entregada a la Sra. A.A.A. por parte del representante de la citada entidad […]” 3. El denunciante manifiesta que la empresa ha vulnerado el secreto profesional al entregar a su ex esposa copia de dicha documentación Entre otra, anexa la siguiente documentación:  Copia de la solicitud presentada por el denunciante ante el Centro de Mediación, Arbitraje y Conciliación de ***LOC.1, de fecha 29 de marzo de 2017, contra la empresa denunciada.  Copia de la contestación a la demanda presentada por su ex esposa ante el Juagado de Violencia contra la Mujer número X.1 de ***LOC.1, en la que hace referencia a la información sobre la demanda de conciliación presentada por el denunciante contra la empresa denunciada. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados (Informe E/05686/2017), teniendo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 Con fechas 27 de octubre y 28 de noviembre de 2018, ORITIA & BOREAS, S.L., ha remitido a esta Agencia la siguiente información en relación con los hechos denunciados: 1) La información facilitada por la empresa en relación con el denunciante se enmarca en un procedimiento judicial seguido ante el Juzgado de Violencia sobre la Mujer nº X.1 de ***LOC.1, en el que son parte el denunciante y su ex esposa. 2) En el citado procedimiento, tanto la abogada de la ex esposa como el Juzgado solicitaron información a la empresa. a. La información facilitada a la letrada se realizó en contestación al requerimiento remitido por su parte, con fecha 1 de junio de 2017, del que aportan copia, donde manifiesta que, con el objetivo de ejercitar la tutela judicial efectiva de su representada y facilitar una información veraz ante el Juzgado de Violencia sobre la Mujer X.1 de ***LOC.1, en relación a la situación laboral y económica del denunciante, les solicita que aporten cualquier información que pueda resultar de interés en ese sentido para aportarla al Tribunal. b. Respecto al Juzgado, aportan copia del requerimiento judicial recibido del Juzgado de Violencia sobre la Mujer X.1 de ***LOC.1, de fecha 18 de julio de 2017, solicitando copia de todas las facturas emitidas y cobradas por el denunciante durante el tiempo en el que ha desarrollado su actividad profesional en la empresa. Así mismo, aportan copia de la contestación al requerimiento con la que aportan lo solicitado y también informan de que han recibido una demanda de conciliación del denunciante. TERCERO: Consultada el 5 de febrero de 2018 la aplicación de la AEPD que gestiona la consulta de antecedentes de sanciones y apercibimientos precedentes, a la entidad denunciada no le constan registros previos. CUARTO: Con fecha 12 de febrero de 2018, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00036/2018. Dicho acuerdo fue notificado a la entidad denunciada. QUINTO: Con fecha 5 de marzo de 2018 se recibe en esta Agencia escrito de la entidad denunciada, en el que comunica: 1. Que, en el caso hipotético en que hubiera cometido la infracción que le es imputada, se darían todas las circunstancias que justifican que el expediente finalice con un apercibimiento: ha existido buena fe de colaborar con los tribunales y la defensa jurídica de Doña A.A.A., se ha tratado de un hecho C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 puntual, no se ha obtenido ningún beneficio, no ha existido intencionalidad, nunca ha cometido una infracción de la LOPD con anterioridad y cuenta con procedimientos adecuados de actuación y recogida y tratamiento de los datos de carácter personal. 2. Que ha decidido reforzar la implantación de una serie de medidas de seguridad en relación con el tratamiento de datos, comunicándose a todos los trabajadores:  Reforzamiento de un protocolo de actuación respecto a cualquier requerimiento de información o de documentos que contengan datos de carácter personal. Entre otras actuaciones, en el protocolo se contempla la necesidad de acreditación de interés legítimo en el requerimiento, la identificación y la firma de un recibí en el momento de la entrega de la documentación. El requerimiento será estudiado por el responsable interno de protección de datos y por el asesor externo especializado en la materia, remitiéndose a un tercer experto si existiese discrepancia.  Recordatorio a todos los trabajadores de los derechos y obligaciones en materia de protección de datos.  Refuerzo del acceso a información sensible: actualización de usuarios y accesos autorizados, autorización de salidas de soportes, registros de incidencias, entre otras.  Nombramiento departamento.  Realización periódica de auditorías externas completas en materia de protección de datos. de un responsable de protección de datos por HECHOS PROBADOS PRIMERO: ORITIA & BOREAS, S.L., ha facilitado copia de una demanda de conciliación entre la citada empresa y el denunciante, Don B.B.B., sin su consentimiento, a la letrada de la ex esposa de éste, Doña A.A.A.. Esta información fue facilitada por la entidad denunciada en contestación al requerimiento de la letrada, de fecha 1 de junio de 2017, donde se solicitaba que aportara cualquier información que pudiera resultar de interés para la defensa de su representada, a efectos de hacerla valer en un procedimiento judicial ante el Juzgado de Violencia sobre la Mujer X.1 de ***LOC.1. SEGUNDO: La información proporcionada por la entidad denunciada ha sido utilizada por la ex esposa del denunciante en su contestación a la demanda en el marco del citado procedimiento judicial. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 TERCERO: Como resultado de los hechos objeto del presente procedimiento, la entidad denunciada ha adoptado una serie de medidas correctoras, tales como el reforzamiento de un protocolo de actuación respecto a requerimientos de información, el recordatorio a los trabajadores de los derechos y obligaciones en materia de protección de datos, el refuerzo del acceso a información sensible, el nombramiento de un responsable de protección de datos por departamento y la realización periódica de auditorías externas completas en materia de protección de datos. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de carácter personal (en lo sucesivo, LOPD). II Se imputa en este caso a la entidad ORITIA & BOREAS, S.L., una infracción del artículo 11 de la LOPD, que dispone: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso:
2. a)Cuando la cesión está autorizada en una ley.
3. b)Cuando se trate de datos recogidos de fuentes accesibles al público.
4. c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique.
5. d)Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco será preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas.
6. e)Cuando la cesión se produzca entre Administraciones públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos.
7. f)Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 3. Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero, cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquel a quien se pretenden comunicar. 4. El consentimiento para la comunicación de los datos de carácter personal tiene también un carácter de revocable. 5. Aquel a quien se comuniquen los datos de carácter personal se obliga, por el solo hecho de la comunicación, a la observancia de las disposiciones de la presente Ley. 6. Si la comunicación se efectúa previo procedimiento de disociación, no será aplicable lo establecido en los apartados anteriores”. En el presente caso, ha quedado acreditado que la entidad denunciada facilitó a la letrada de la ex esposa del denunciante datos de carácter personal de éste, en concreto, una demanda de conciliación, sin su consentimiento, siendo dicha información utilizada en el marco de un procedimiento judicial. En este sentido, cabe señalar que la remisión de la información con datos de carácter personal objeto del presente procedimiento al Juzgado de Violencia sobre la Mujer X.1 de ***LOC.1 no precisaría del consentimiento del denunciante, en virtud del transcrito artículo 11.2.
8. d)de la LOPD. Por el contrario, la remisión de esta información a la letrada de la ex esposa del denunciante no quedaría amparada en dicha excepción. III El artículo 44.3.
9. k)de la LOPD considera como infracción grave: “La comunicación o cesión de los datos de carácter personal sin contar con legitimación para ello en los términos previstos en esta Ley y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave.” Dado que la entidad denunciada ha cedido datos de carácter personal sin contar con legitimación para ello, se considera que ha incurrido en la infracción grave descrita. IV La disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) ha añadido un nuevo apartado 6 al artículo 45 de la Ley 15/1999 de Protección de Datos en lugar del existente hasta su promulgación del siguiente tenor: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
10. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
11. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. Trasladando las consideraciones expuestas al supuesto que nos ocupa, se observa que la infracción de la LOPD de la que se responsabiliza a la entidad denunciada es “grave”; que la entidad denunciada no ha sido sancionada o apercibida por este organismo en ninguna ocasión anterior; y que concurren de manera significativa varias de las circunstancias descritas en el artículo 45.5 de la LOPD: el carácter puntual de la infracción, el volumen de los tratamientos efectuados y la ausencia de especial vinculación de la actividad de la entidad denunciada con la realización de tratamientos de datos de carácter personal. Todo ello, unido a la naturaleza de los hechos que nos ocupan, justifica que la AEPD no acuerde la apertura de un procedimiento sancionador y que opte por aplicar el artículo 45.6 de la LOPD. Ahora bien, es obligado hacer mención a la Sentencia de la Audiencia Nacional de 29/11/2013, (Rec. 455/2011), Fundamento de Derecho Sexto, que sobre el apercibimiento regulado en el artículo 45.6 de la LOPD y a propósito de su naturaleza jurídica advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella y cuyo objeto es la imposición de medidas correctoras, la SAN citada concluye que cuando no se requieran medidas correctoras, lo procedente en Derecho es acordar el archivo de las actuaciones. En este caso concreto, atendida la naturaleza de la infracción consistente en un hecho puntual, y vistas las medidas ya adoptadas por la entidad responsable de la misma, debe procederse en consecuencia, a resolver el archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la entidad denunciada, en aplicación de la interpretación del artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. Recordando que la reiteración en conductas como la denunciada constituye un supuesto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 sobre el que concurren las circunstancias previstas para la aplicación del régimen sancionador contemplado en la LOPD. A la vista del pronunciamiento recogido en la SAN de 29/11/2013 (Rec. 455/2011) de acuerdo con lo señalado se debe proceder al archivo de las actuaciones. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR (A/00036/2018) las actuaciones practicadas a ORITIA & BOREAS, S.L., con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 11 de la LOPD, tipificada como grave en el artículo 44.3.k). 2.- NOTIFICAR el presente Acuerdo a ORITIA & BOREAS, S.L. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es