A-00103-2013

1/8 Procedimiento Nº: A/00103/2013 RESOLUCIÓN: R/02198/2013 En el procedimiento A/00103/2013, instruido por la Agencia Española de Protección de Datos a la entidad SERVICIOS MEDICOS LABORALES DEL SUR, SLU, vista la denuncia presentada por D. A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 15 de noviembre de 2012 tiene entrada en esta Agencia un escrito de D. A.A.A. en el que declara que los trabajadores de la empresa SERVICIOS MEDICOS LABORALES DEL SUR, SLU (en adelante SMLS), reciben correos electrónicos con datos personales de los demás trabajadores como desgloses de nóminas. Además los análisis de sangre de los reconocimientos médicos se ofrecen impresos por personal administrativo de otra empresa sanitaria, indicando que por ese motivo se niega a recogerla “hasta que se le entregue sellado o con una contraseña”. Indica que manejan ficheros de usuarios de piscinas municipales, que atienden como enfermeros, sin ninguna Protección de Datos. Aporta impresión de un correo electrónico que le ha sido remitido por .......@gmail.com el jueves 29 de diciembre de 2011, con un archivo adjunto “cuadrante piscinas 2012.xls”, que también aporta impreso. En el texto del correo electrónico se cita: “Os adjunto hoja excell con el año 2012, los fallos que veáis por favor decídmelo. Dentro del mismo documento hay dos para que lo veáis como queráis Gracias -B.B.B. Multimédica Isla Salud, S.L. Tftno: ***TEL.1” En la hoja Excel se aprecian los nombres y apellidos de cinco personas con los importes de sus salarios brutos mensuales y pagas extras. No aporta documentación acreditativa sobre los informes de los reconocimientos médicos ni sobre los tratamientos de datos de los usuarios de piscinas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 SEGUNDO: Tras la recepción de la denuncia, el Director de la Agencia Española de Protección de Datos ordenó a la Subdirección General de Inspección de Datos la realización de las actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Se ha solicitado a SMLS información y documentación sobre los hechos denunciados y de la contestación se desprende lo siguiente: Con respecto al correo electrónico aportado por el denunciante los representantes de la entidad han manifestado lo siguiente: “Dicho documento que nos adjuntan, se trata de un mail enviado desde la oficina de la administración de la empresa que contiene varias hojas de excel, siendo su finalidad: Respecto al cuadrante relativo a total gastos mensuales, su finalidad es de llevar un seguimiento económico mes a mes de la viabilidad del contrato suscrito con el Ayto. de San Fernando, a fin de detectar posibles desviaciones respecto al importe contratado. En el caso concreto, dicho mes totaliza un gasto total de 9832,30 €, comprensivo de salarios, seguros sociales, gastos de análisis de agua, farmacia, seguros, etc. Dicho mail contiene además los cuadrantes horarios de las jornadas de los trabajadores, a fin de que cada uno de ellos conozca con la suficiente antelación sus turnos para resolver con tiempo las posibles incidencias que de cara al horario colectivo puedan plantearse, como posibles bajas, días de asuntos propios, etc. Tratándose por lo tanto el envío de dicha información, de actuaciones tendentes al desarrollo de la relación laboral existente con los empleados, desde el punto de vista de obtener en primer lugar su visto bueno respecto al gasto mensual realizado, así como de dar a conocer con suficiente antelación sus cuadrantes de jornada horario, dicha actuación se encuentra amparada por lo dispuesto en el art.6.2 de la LOPD, que establece: " No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocia!, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento." Adjuntan copia del resto de las hojas integrantes del mail, consistentes en cuadrantes de turnos de atención en piscinas, por meses y trabajadores. Con respecto a los reconocimientos médicos realizados a los empleados de la entidad han manifestado: “El procedimiento seguido para la realización de los reconocimientos médicos de los trabajadores es el siguiente: Se cita a cada trabajador en el centro médico para la realización de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 correspondiente revisión, realizándose el mismo a puerta cerrada con cada facultativo. Los respectivos datos de cada trabajador se envían confidencialmente por el centro médico a la entidad que emite los certificados. Recepcionados por la empresa los reconocimientos médicos se entregan en sobre cerrado con nombre y apellidos del destinatario. No consta que algún trabajador se haya negado a recepcionar su reconocimiento médico, no llevándose ningún registro al efecto por esta circunstancia.” Aportan copia del contrato, de fecha 30 de agosto de 2012, suscrito con la entidad que presta los servicios de prevención y reconocimientos médicos, MEDIOS DE PREVENCION EXTERNOS, SL, verificándose que en su cláusula octava recoge previsiones de Confidencialidad y Protección de Datos. Solicitada copia de la documentación contractual suscrita entre SMLS y el Ayuntamiento, incluyendo cláusulas de Protección de Datos que se hayan establecido, aportan copia del contrato suscrito para la prestación de servicios sanitarios en las instalaciones municipales, indicando que ha sido elaborado por los servicios jurídicos de ese Ayuntamiento. El contrato no incluye cláusulas de confidencialidad ni sobre la relación entre el responsable y el encargado del tratamiento (art. 12 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal). No aportan el resto de documentación contractual (pliegos de condiciones administrativas y pliegos de prescripciones técnicas). Por ello se ha solicitado al Ayuntamiento de San Fernando de Cádiz copia de toda la documentación contractual suscrita con SMLS para la prestación de los servicios sanitarios en las instalaciones deportivas municipales, incluidos los pliegos de prescripciones técnicas y cláusulas administrativas. Se ha solicitado además información sobre el flujo de datos personales de los usuarios de las instalaciones, que puedan existir entre la referida empresa y el Ayuntamiento. Recibida respuesta, el Ayuntamiento de San Fernando informa a esta Agencia que no existe ningún tipo de flujo de datos entre ambos, no teniendo el personal de SMLS acceso alguno a los datos personales de los usuarios de las instalaciones deportivas municipales, pues las labores encomendadas a la referida empresa se limitan a la atención médica de los usuarios. TERCERO: Con fecha 19 de junio de 2013, el Director de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00103/2013. Dicho acuerdo fue notificado al denunciante y al denunciado. CUARTO: Con fecha 15 de julio de 2013 se recibe en esta Agencia escrito del denunciado en el que comunica: “...SEGUNDO.- Entendemos por (o tanto, en base a lo expuesto, que solo parte del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 contenido del mail enviado desde la oficina de administración de la empresa, justifica el apercibimiento en lo referente a las cantidades devengadas por el personal en concepto de sueldos y salarios y pagas extras. (...) CUARTO.- Ha quedado igualmente acreditado en el expediente que la empresa SMLS no ha obtenido beneficio alguno como consecuencia de los hechos denunciados. QUINTO.- Por lo tanto, y concurriendo las circunstancias expuestas manifestamos nuestra conformidad a la no apertura de procedimiento sancionador en base a lo dispuesto en el apartado 6 del art.45 de la ley 15/99, de nueva adición conforme a la disposición final quincuagésima sexta de la ley 2/2011 de 4 de marzo, ya que SMLS no ha sido sancionado o apercibido con anterioridad. SEXTO.- Se han dado instrucciones precisas al departamento de administración, en concreto a la persona que envió el mail para que dicha acción no vuelva a realizarse bajo ningún concepto.” HECHOS PROBADOS PRIMERO: El denunciante ha declarado que los trabajadores de la empresa SERVICIOS MEDICOS LABORALES DEL SUR, SLU reciben correos electrónicos con datos personales de los demás trabajadores con desgloses de sus nóminas. El jueves 29 de diciembre de 2011 el denunciante recibió un correo electrónico remitido por .......@gmail.com, con un archivo adjunto “cuadrante piscinas 2012.xls”, que aporta impreso. En la hoja Excel figuran los nombres y apellidos de cinco personas con los importes de sus salarios brutos mensuales y de sus pagas extras. SEGUNDO: La empresa ha manifestado respecto de este envío que se trata de un mail enviado desde la oficina de la administración de la empresa que contiene varias hojas de excel y que la finalidad del cuadrante del total de gastos mensuales es el seguimiento económico mes a mes de la viabilidad del contrato suscrito con el Ayuntamiento de San Fernando. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 El artículo 10 de la LOPD, establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de los mismos. En este sentido, la Sentencia de la Audiencia Nacional de fecha 18/01/02, recoge en su Fundamento de Derecho Segundo, segundo y tercer párrafo: “El deber de secreto profesional que incumbe a los responsables de ficheros automatizados, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable … no puede revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero automatizado o, en su caso, con el responsable del mismo” (artículo 10 citado). Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente, como el teléfono de contacto, no pueden ser conocidos por ninguna persona o entidad, pues en eso consiste precisamente el secreto.” “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. El deber de secreto profesional que incumbe a los responsables de los ficheros, recogido en el artículo 10 de la LOPD, comporta que el responsable o quienes intervengan en cualquier fase del tratamiento de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y por lo que ahora interesa, comporta que los datos tratados automatizadamente o no, no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 En este caso concreto, la entidad SERVICIOS MEDICOS LABORALES DEL SUR, SLU envió un fichero Excel a sus empleados con los gastos mensuales relativos a un contrato que tiene la empresa con el ayuntamiento de San Fernando. En el fichero se incluían los salarios mensuales de cinco empleados con el nombre y apellido, con datos del salario bruto mensual y las pagas extra de cada uno de ellos. La entidad denunciada ha manifestado que se trataba de “un mail enviado desde la oficina de la administración de la empresa que contiene varias hojas de excel, siendo su finalidad: Respecto al cuadrante relativo a total gastos mensuales, su finalidad es de llevar un seguimiento económico mes a mes de la viabilidad del contrato suscrito con el Ayto. de San Fernando...” Notificado el acuerdo de audiencia previa la entidad denunciada ha manifestado que entienden que está justificado el apercibimiento en lo referente a las cantidades devengadas por el personal en concepto de sueldos y salarios y pagas extras por lo que muestran su conformidad con la no apertura de procedimiento sancionador y añaden que se han dado instrucciones precisas al departamento de administración para que dicha acción no vuelva a realizarse bajo ningún concepto. En este procedimiento ha quedado acreditado que se han revelado los datos personales del denunciante incluidos en el documento de Excel enviado por correo electrónico a los empleados de su empresa con datos de los salarios de cada uno de ellos. Se considera por tanto que se ha vulnerado el principio del deber de secreto, consagrado en el artículo 10 de la LOPD, que obliga al responsable del fichero y a quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal. III La LOPD califica la vulneración del deber de secreto como infracción grave. El artículo 44.3.
2. d)de dicha Ley califica como grave “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de esta Ley” En el presente caso, la difusión de los datos contenidos en el fichero Excel remitido por correo electrónico a los empleados de la empresa denunciada, es subsumible en el tipo de infracción calificada como grave. Por ello, se considera que la entidad SERVICIOS MEDICOS LABORALES DEL SUR, SLU ha incurrido en la infracción grave tipificada en el artículo 44.3.
3. d)de la LOPD. IV La disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) ha añadido un nuevo apartado 6 al artículo 45 de la Ley 15/1999 de Protección de Datos en lugar del existente hasta su promulgación del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
4. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
5. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. La Ley 30/1992, de 26 de noviembre de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común –que, al decir de su Exposición de Motivos (punto 14) recoge “los principios básicos a que debe someterse el ejercicio de la potestad sancionadora de la Administración y los correspondientes derechos que de tales principios se derivan para los ciudadanos extraídos del Texto Constitucional y de la ya consolidada jurisprudencia sobre la materia”- sanciona el principio de aplicación retroactiva de la norma más favorable estableciendo en el artículo 128.2 que “las disposiciones sancionadoras producirán efecto retroactivo en cuanto favorezcan al presunto infractor”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
6. a)y
7. b)del citado apartado 6. Junto a ello se constata una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no consta vinculación relevante de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constan beneficios obtenidos como consecuencia de la comisión de la infracción. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00103/2013) a la entidad SERVICIOS MEDICOS LABORALES DEL SUR, SLU con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
8. d)de la citada Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- NO REQUERIR a la entidad SERVICIOS MEDICOS LABORALES DEL SUR, SLU la adopción de ninguna medida correctora, toda vez que ha quedado constatado que ya se han adoptado las medidas que impidan que en el futuro pueda producirse una nueva infracción como la declarada, en cumplimiento de lo previsto en el artículo 10 de la LOPD: 3.- NOTIFICAR el presente Acuerdo a la entidad SERVICIOS MEDICOS LABORALES DEL SUR, SLU. 4.- NOTIFICAR el presente Acuerdo a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es