A-00094-2016

1/8 Procedimiento Nº: A/00094/2016 RESOLUCIÓN: R/01409/2016 En el procedimiento A/00094/2016, instruido por la Agencia Española de Protección de Datos a la entidad ATRIMER, S.L., vista la denuncia presentada por DÑA. A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 13/04/2015, tuvieron entrada en esta Agencia dos escritos de Dña. A.A.A. (en lo sucesivo la denunciante), en el que denuncia a la entidad Atrimer, S.L. (en lo sucesivo ATRIMER), por el envío de un correo electrónico de fecha 26/03/2015, remitido desde la dirección ....@...., que corresponde al administrador único de la citada sociedad, D. B.B.B., dirigido a C.C.C., S.L. y a Dña. D.D.D., al que acompañaba como fichero adjunto copia de la Sentencia dictada por el Juzgado de lo Social número ** de Badajoz, de fecha 18/03/2015, referida a un asunto en el que no intervienen los terceros destinatarios del correo electrónico denunciado. Con estos escritos aportó copia del citado correo electrónico y de la Sentencia adjunta al mismo, en la que constan los datos personales de la denunciante relativos a nombre, apellidos e ingresos, así como las circunstancias laborales analizadas en el proceso y el fallo (indemnización) acordado, que estima parcialmente la demanda interpuesta por la denunciante contra ATRIMER. SEGUNDO: Con fecha 15/03/2016, la Directora de la Agencia Española de Protección de Datos acordó someter a la entidad ATRIMER a trámite de audiencia previa, en relación con la denuncia por infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. d)de la citada Ley Orgánica. TERCERO: Con fecha 08/04/2016, se recibió escrito de alegaciones a la apertura del procedimiento formuladas por la entidad ATRIMER, en el que solicita el archivo de las actuaciones por inexistencia de infracción. En dicho escrito, la citada entidad pone de manifiesto que no es responsable de ningún fichero que le obligue a guardar secreto, “entendiendo el mismo en el sentido de los datos del personal que pueda trabajar en la empresa”, y que el documento remitido mediante el correo denunciado fue copia de una sentencia, que no constituye un fichero. Señala que la denunciante prestó servicios a ATRIMER como trabajadora autónoma independiente hasta su cese el 20/01/2014 y que este cese motivó diversas protestas por parte de algunos clientes de la entidad, que se desvincularon de la misma por este asunto, incluidos los destinatarios del citado correo electrónico, lo que motivó que les fuera trasladada la Sentencia en cuestión para que conocieran las causas del cese. Entiende que el contenido de la sentencia y el detalle de los datos personales recogidos en la misma no es responsabilidad de ATRIMER, sino del Juzgado que la dictó. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 Advierte, por otra parte, que las sentencias son públicas en su contenido, que los datos contenidos en las mismas son necesarios para el ejercicio de funciones públicas, en el sentido expresado en el artículo 6.2 de la LOPD, y advierte que con los hechos denunciados ha hecho uso del derecho a la libertad de información para dar a conocer las circunstancias del caso a los clientes disconformes. HECHOS PROBADOS 1. Con fecha 26/03/2015, D. B.B.B., administrador único de la sociedad ATRIMER, remitió un correo electrónico desde la dirección ....@...., dirigido a C.C.C., S.L. y a Dña. D.D.D., al que acompañaba como fichero adjunto copia de la Sentencia dictada por el Juzgado de lo Social número ** de Badajoz, de fecha 18/03/2015, referida a un asunto en el que no intervienen los terceros destinatarios del correo electrónico denunciado. En la citada Sentencia constan los datos personales de la denunciante, relativos a nombre, apellidos e ingresos, así como las circunstancias laborales analizadas en el proceso y el fallo (indemnización) acordado, que estima parcialmente la demanda interpuesta por la misma contra ATRIMER. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II El presente procedimiento tiene por objeto determinar las responsabilidades que se derivan de la revelación de datos efectuada por la entidad ATRIMER, que en un correo electrónico de 26/03/2015 facilitó a terceros copia de una sentencia en la que constan datos personales relativos a la denunciante. El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Dado el contenido de este precepto, ha de entenderse que el mismo tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales se realicen comunicaciones de los datos no consentidas por los titulares de los mismos. Este deber de secreto, que incumbe a los responsables de los ficheros y a todos aquellos que intervengan en cualquier fase del tratamiento de los datos de carácter personal, comporta que los datos no puedan revelarse ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”, de modo que los datos tratados no puedan ser conocidos por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que las personas están situadas, cada vez más, en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. Igualmente, cabe destacar la Sentencia dictada por la Audiencia Nacional, de fecha 14/09/2001, que en los Fundamentos de Derecho Tercero y Cuarto señala: “Pues bien, la conducta que configura el ilícito administrativo -artículo 43.3.
3. g)de la Ley Orgánica 5/1992- requiere la existencia de culpa, que se concreta, por lo que ahora interesa, en el simple incumplimiento del deber de guardar secreto, deber que se transgrede cuando se facilita información a terceros de los datos que sobre el titular de una cuenta bancaria dispone la entidad recurrente, siendo indiferente a estos efectos que los datos se facilitaran mediante engaño, pues la entidad bancaria no observó una conducta diligente tendente a salvaguardar el expresado deber de secreto, y esta conducta basta para consumar la infracción cuya sanción se recurre en el presente recurso. En consecuencia, esa falta de diligencia configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente. En definitiva, concurren los requisitos exigibles para que la conducta sea culpable, pues la conducta desarrollada vulnera el deber de guardar secreto, es una conducta tipificada como infracción administrativa, y la voluntariedad reviste forma de culpa”. En el presente caso, según ha quedado expuesto, consta que la entidad ATRIMER reveló a terceros los datos personales de la denunciante contenidos en una Sentencia dictada por el Juzgado de lo Social número ** de Badajoz, de fecha 18/03/2015, en concreto, los relativos a nombre, apellidos e ingresos, así como las circunstancias laborales analizadas en el proceso y el fallo (indemnización) acordado, que estima parcialmente la demanda interpuesta por la misma contra ATRIMER, sin que la afectada hubiese prestado su consentimiento para ello. Esta divulgación de datos personales, llevada a cabo mediante el envío el a terceros de un correo electrónico que adjuntaba en un archivo copia de la citada Sentencia, vulnera lo dispuesto en el artículo 10 de la LOPD, siendo responsable de ello la entidad denunciada, sobre la que recae el deber de secreto que impone dicho precepto como responsable de la custodia de los datos en cuestión, obtenidos por razón de la relación laboral que vinculaba a la misma con ATRIMER. ATRIMER no ha aportado ninguna razón que justifique la divulgación a terceros de los datos personales de la afectada. III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 Debe señalarse que la conclusión alcanzada no contradice el principio de publicidad de las actuaciones judiciales, consagrado en cuanto a las sentencias por los artículos 205.6, 232 y 266 de la Ley Orgánica del Poder Judicial. Ello se funda en que la publicidad a la que se refieren dichos preceptos tiene por objeto asegurar el pleno desenvolvimiento del derecho de las partes a obtener la tutela efectiva de los jueces y Tribunales en el ejercicio de sus derechos, sin que en ningún modo pueda producírseles indefensión, consagrado por el artículo 24.1 de la Constitución. Por ello, no puede ampararse en un precepto cuyo fundamento es la salvaguarda de los derechos de los ciudadanos la realización de otras actividades que pueden producir una merma de otros derechos fundamentales, como en este caso, el derecho a la protección de datos personales La colisión entre la publicidad de las sentencias y el derecho a la intimidad de las personas ya ha sido, por otra parte, analizado por el Consejo General del Poder Judicial, disponiendo en el Acuerdo de 18 de junio de 1997, por el que se modifica el Reglamento número 5/1995, de 7 de junio, regulador de los aspectos accesorios de las actuaciones judiciales, como apartado 3 del nuevo artículo 5 bis del Reglamento, que “En el tratamiento y difusión de las resoluciones judiciales se procurará la supresión de los datos de identificación para asegurar en todo momento la protección del honor e intimidad personal y familiar”. Esta cuestión ha sido también abordada en la STS (Sala de lo Contencioso Administrativo, Sección 1º), de 3 de marzo de 1995, cuyo Fundamento de Derecho Quinto señala que: “La publicidad procesal, en su vertiente de derecho a la información y de acceso a las sentencias ya depositadas, requiere, como hemos anticipado, por parte de quien la invoca y ejercita, la concurrencia de la condición de «interesado», sin que, hemos también de apresurarnos a esta precisión, la expresión «cualquier interesado» empleada por el art. 266.1 respecto a las sentencias, añada matiz alguno ampliatorio al básico concepto de interesado, por tratarse de mera enunciación reduplicativa y quizás dirigida a no constreñirla a quienes han sido partes o intervenido de cualquier forma (testigos, peritos, etc.) en el proceso al que la sentencia o sentencias han puesto fin. Pues bien, el interés legítimo que es exigible en el caso, sólo puede reconocerse en quien, persona física o jurídica, manifiesta y acredita, al menos «prima facie», ante el órgano judicial, una conexión de carácter concreto y singular bien con el objeto mismo del proceso -y, por ende, de la sentencia que lo finalizó en la instancia-, bien con alguno de los actos procesales a través de los que aquél se ha desarrollado y que están documentados en autos, conexión que, por otra parte, se halla sujeta a dos condicionamientos:
4. a)que no afecte a derechos fundamentales de las partes procesales o de quienes de algún modo hayan intervenido en el proceso, para salvaguardar esencialmente el derecho a la privacidad e intimidad personal y familiar, el honor y el derecho a la propia imagen que eventualmente pudiera afectar a aquellas personas; y
5. b)que si la información es utilizada, como actividad mediadora, para satisfacer derechos o intereses de terceras personas, y en consecuencia adquiere, como es el caso, un aspecto de globalidad o generalidad por relación no a un concreto proceso, tal interés se mantenga en el propio ámbito del ordenamiento jurídico y de sus aplicadores, con carácter generalizado, pues otra cosa sería tanto como hacer partícipe o colaborador al órgano judicial en tareas o actividades que, por muy lícitas que sean, extravasan su función jurisdiccional...”. Desde esta perspectiva, la comunicación a terceros no interesaos de la Sentencia citada en los Hechos Probados de esta Resolución, incluyendo datos de la denunciante, no cumple los condicionamientos expuestos y supone una vulneración de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 IV En otro orden de cosas, y en referencia a las alegaciones de la entidad denunciada relativas a que el artículo 20 de la CE reconoce el derecho a la información y a la libertad de expresión, hay que precisar que el artículo 20 CE se refiere a la libertad de expresión en el marco de los medios de comunicación o partidos políticos, circunstancias que no concurren en la entidad imputada, que no se le reconoce el derecho a hacer públicos de manera incondicional los datos personales de un tercero y a que éste además, deba soportar que esos datos se utilicen sin limitaciones. Es por eso que esta alegación debe ser rechazada, pues sólo la denunciante, como titular de sus datos personales, está legitimada, en los términos y con las excepciones establecidas en la LOPD, para decidir sobre el destino y uso de sus datos personales. Ha de considerarse que la libertad de opinión e información, encuadradas en el artículo 20 de la C.E. tiene su límite en los derechos reconocidos en el Título I de la C.E. entre los que se encuentra el derecho fundamental a la protección de datos de carácter personal (artículo 18). La Sentencia del Tribunal Supremo de fecha 04/11/1986, indica que “la Constitución política ciertamente reconoce con el rango que le es propio y dentro de su artículo 20 la libertad de expresión manifestada en el derecho a expresar y difundir libremente los pensamientos, ideas y opiniones mediante la palabra, el escrito o cualquier otro medio de reproducción; pero advierte expresamente que este derecho tiene su límite en el respeto a los derechos reconocidos en el Título I, en los preceptos de las leyes que lo desarrollan y, especialmente, en el derecho al honor, a la intimidad, a la propia imagen y a la protección de la juventud y de la infancia”. La cuestión a dilucidar se centra en determinar qué derecho es preferente en el caso que nos ocupa. La Jurisprudencia del Tribunal Constitucional tiende a otorgar una posición preferente a la libertad de expresión frente a otros derechos constitucionales, siempre y cuando los hechos comunicados se consideren de relevancia pública (STC 105/1983, STC 107/1988) y atendiendo a la veracidad de la información facilitada (STC 6/1988, STC 105/1990, STC 240/1992). Así el citado Tribunal afirma: "Dada su función institucional, cuando se produzca una colisión de la libertad de información con el derecho a la intimidad y al honor aquélla goza, en general, de una posición preferente y las restricciones que de dicho conflicto puedan derivarse a la libertad de información deben interpretarse de tal modo que el contenido fundamental del derecho a la información no resulte, dada su jerarquía institucional desnaturalizado ni incorrectamente relativizado. …resulta obligado concluir que en esa confrontación de derechos, el de la libertad de información transmitida sea veraz, y esté referida a asuntos públicos que son de interés general por las materias a que se refieren y por las personas que en ellos intervienen, contribuyendo, en consecuencia, a la formación de la opinión pública.” (STC 171/1990). En el mismo sentido se pronuncia la Sentencia 204/1997 indicando "las libertades del art. 20 de la Constitución no sólo son derechos fundamentales de cada ciudadano, sino también de condición de existencia de la opinión pública libre, indisolublemente unida al pluralismo político, que es su valor fundamental y requisito de funcionamiento del Estado democrático que, por lo mismo, transcienden el significado común y propio de los demás derechos fundamentales. …el valor preponderante de las libertades del art. 20 de la Constitución sólo puede verse apreciado y protegido cuando aquéllas se ejerciten en conexión con asuntos que son de interés general, por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 las materias a que se refieran y por las personas que en ellos intervienen y contribuyan, en consecuencia, a la formación de la opinión pública…” De conformidad con la doctrina constitucional expuesta y atendiendo a la circunstancia concurrente de la ausencia de relevancia pública o de interés general en la información divulgada, se puede afirmar que el derecho a la protección de datos personales recogido en la LOPD, en el presente caso, ocupa una posición preferente frente a los derechos de expresión y a la información, habida cuenta que la información divulgada no es de interés general y en modo alguno se justifica el tratamiento de datos sin el consentimiento de la denunciante. V La vulneración del deber de secreto aparece tipificada como infracción grave en el artículo 44.3.
6. d)de la LOPD. En este precepto se establece lo siguiente: “
7. d)La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En el presente caso, según ha quedado expuesto, consta acreditado que los datos personales de la afectada fueron divulgados a terceros por la denunciada, no habiéndose acreditado que aquélla hubiese prestado el consentimiento necesario para ello. Por tanto, se concluye que la conducta imputada se ajusta a la tipificación prevista en el 44.3.
8. d)de la LOPD. VI Por otra parte, se tuvo en cuenta que ATRIMER no ha sido sancionada o apercibida con anterioridad por esta Agencia, por lo que de conformidad con lo establecido en el artículo 45.6 de la LOPD, se acordó someter a la citada entidad a trámite de audiencia previa al apercibimiento, en relación con la denuncia por infracción del artículo 10 de la LOPD. El artículo 45.6 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
9. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
10. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
11. a)y
12. b)del citado artículo 45.6 de la LOPD, por cuanto la infracción de la que se responsabiliza al denunciado es una infracción “grave” y el mismo no ha sido sancionado o apercibido por este organismo en ninguna ocasión anterior. Junto a ello se constata una cualificada disminución de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 culpabilidad de la entidad por la concurrencia de varios criterios de los enunciados en el artículo 45.4 de la LOPD, concretamente, la no vinculación de la actividad de la denunciada con la realización de tratamientos de datos de carácter personal y el volumen de tratamientos de datos personales afectados por la irregularidad. Todo ello, justifica que la AEPD no haya acordado la apertura de un procedimiento sancionador y que opte por aplicar el artículo 45.6 de la LOPD. Ahora bien, es obligado hacer mención a la Sentencia de la Audiencia Nacional de 29/11/2013, (Rec. 455/2011), Fundamento de Derecho Sexto, que sobre el apercibimiento regulado en el artículo 45.6 de la LOPD y a propósito de su naturaleza jurídica advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella, y considerando que el objeto del apercibimiento es la imposición de medidas correctoras, la SAN citada concluye que cuando éstas ya hubieran sido adoptadas, lo procedente en Derecho es acordar el archivo de las actuaciones. Lo mismo ha de entenderse en aquellos supuestos, como el analizado en las presentes actuaciones, en los que, por la naturaleza de los hechos determinantes de la infracción, no cabe imponer ninguna medida correctora dirigida a impedir que tales hechos se cometan de nuevo en el futuro, más allá de exigir al infractor el cese en la comisión de hechos similares y el compromiso de no reiterar la conducta sancionable. Por tanto, a la vista del pronunciamiento recogido en la SAN de 29/11/2013 (Rec. 455/2011) referente a los supuestos en los que no procede la adopción de ninguna medida correctora, de acuerdo con lo señalado se debe acordar al archivo de las actuaciones. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR el procedimiento A/00094/2015 seguido contra la entidad ATRIMER, S.L., con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por la infracción del artículo 10 de la citada Ley Orgánica. 2.- NOTIFICAR el presente Acuerdo a la entidad ATRIMER, S.L. y a DÑA. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es