A-00145-2013

1/9 Procedimiento Nº: A/00145/2013 RESOLUCIÓN: R/02200/2013 En el procedimiento A/00145/2013, instruido por la Agencia Española de Protección de Datos a la entidad INDUSTRIES METALIQUES SES PORTES S.L, vista la denuncia presentada por D. A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 5 de febrero de 2013 tiene entrada en esta Agencia un escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que comunica que con fecha 4 de enero de 2013 en el periódico local del municipio de Felanitx, “FELANITX, SEMANARIO DE INTERESES LOCALES” en el número 3.817, se publicó un anuncio por la entidad mercantil “INDUSTRIES METÁLIQUES SES PORTES, S.L. en cuyo texto se expone al público en general de forma totalmente gratuita e innecesaria un dato referido a su salud, el hecho de que se halla de “baja por enfermedad desde enero de 2012” junto a su identificación por medio de su nombre y primer apellido y en su categoría de trabajador de la empresa. El denunciante adjunta a su escrito copia de la publicación mencionada y en concreto la página en que aparece el anuncio en cuestión. SEGUNDO: Con fecha 26 de julio de 2013, el Director de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00145/2013. Dicho acuerdo fue notificado al denunciante y al denunciado. TERCERO: Con fecha 19 de agosto de 2013 se recibe en esta Agencia escrito del denunciado en el que comunica: “...En consecuencia, la empresa representada por el suscribiente, entendía que la incapacidad laboral transitoria, no se mantenía en secreto, sino como pública, por parte del Sr. A.A.A. y que la mera y aséptica información de la misma, era el ejercicio del derecho a comunicar información veraz.” Concluyen las alegaciones solicitando que se acuerde que el hecho denunciado no es constitutivo de infracción alguna. Proponen como prueba la testifical de tres testigos en caso de no tenerse por cierto el hecho de que el denunciante no mantenía su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 situación de incapacidad laboral transitoria en secreto sino como pública. HECHOS PROBADOS PRIMERO: El 4 de enero de 2013 en el periódico local del municipio de Felanitx, “FELANITX, SEMANARIO DE INTERESES LOCALES” en el número 3.817, la entidad mercantil “INDUSTRIES METÁLIQUES SES PORTES, S.L. publicó un anuncio en el que, con relación a la convocatoria de la comida anual de empresa, se dice que se va a notar la ausencia del denunciante en este procedimiento, identificado con nombre y primer apellido, porque se encuentra de baja por enfermedad desde enero de 2012. Consta aportada en el expediente copia de la publicación mencionada. SEGUNDO: Con fecha 5 de febrero de 2013 el denunciante puso estos hechos en conocimiento de la Agencia Española de Protección de Datos manifestando que “se expone al público general lector de forma totalmente gratuita e innecesaria un dato de salud”. TERCERO: Que la entidad INDUSTRIES METALIQUES SES PORTES S.L no ha podido acreditar en el expediente que contara con el consentimiento del denunciante para la difusión de sus datos personales, en concreto el hecho de encontrase de baja por enfermedad desde determinada fecha. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II El artículo 10 de la LOPD, establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de los mismos. En este sentido, la Sentencia de la Audiencia Nacional de fecha 18/01/02, recoge en su Fundamento de Derecho Segundo, segundo y tercer párrafo: “El deber de secreto profesional que incumbe a los responsables de ficheros automatizados, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable … no puede revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero automatizado o, en su caso, con el responsable del mismo” (artículo 10 citado). Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente, como el teléfono de contacto, no pueden ser conocidos por ninguna persona o entidad, pues en eso consiste precisamente el secreto.” “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. El deber de secreto profesional que incumbe a los responsables de los ficheros, recogido en el artículo 10 de la LOPD, comporta que el responsable o quienes intervengan en cualquier fase del tratamiento de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y por lo que ahora interesa, comporta que los datos tratados automatizadamente o no, no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. En este caso concreto, la entidad INDUSTRIES METALIQUES SES PORTES S.L publicó un anuncio en un periódico local en el que junto con la convocatoria de la comida anual de empresa, se dice que se va a notar la ausencia del denunciante en este procedimiento, identificado con nombre y primer apellido, porque se encuentra de baja por enfermedad desde enero de 2012. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 Notificado el acuerdo de audiencia previa la entidad denunciada ha manifestado que “entendía que la incapacidad laboral transitoria, no se mantenía en secreto, sino como pública, por parte del Sr. A.A.A. y que la mera y aséptica información de la misma, era el ejercicio del derecho a comunicar información veraz.” En este procedimiento ha quedado acreditado que se han revelado los datos personales del denunciante incluidos en un anuncio en la publicación “FELANIX, SEMANARIO DE INTERESES LOCALES” por la entidad INDUSTRIES METALIQUES SES PORTES S.L. donde se expone que se encuentra de baja por enfermedad desde enero de 2012. Se considera por tanto que se ha vulnerado el principio del deber de secreto, consagrado en el artículo 10 de la LOPD, que obliga al responsable del fichero y a quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal. III En cuanto a la alegación de la entidad INDUSTRIES METALIQUES SES PORTES S.L. de ausencia de infracción en su actuación por cuanto “la mera y aséptica información de la misma, era el ejercicio del derecho a comunicar información veraz”, se ha de tener en cuenta que el artículo 20 de la C.E. dispone en su epígrafe 1, apartados
2. a)y d): "Se reconocen y protegen los derechos:
3. a)A expresar y difundir libremente los pensamientos, ideas y opiniones mediante la palabra, el escrito o cualquier otro medio de reproducción. …A comunicar o recibir libremente información veraz por cualquier medio de difusión. La ley regulará el derecho a la cláusula de conciencia y al secreto profesional en el ejercicio de estas libertades.” La expresión "cualquier medio” recogida en los preceptos constitucionales transcritos permite aceptar todo posible medio de reproducción o de difusión. La falta de especificación hace que sea admisible cualquier procedimiento de divulgación, debiendo sólo aplicar una interpretación restrictiva fundada en la protección de otros derechos constitucionales. El Tribunal Constitucional declaró que "no hay inconveniente en entender que el derecho de difundir las ideas y opiniones comprende en principio el derecho de crear los medios materiales a través de los cuales la difusión se hace posible.” (STC 12/1982). La Jurisprudencia del Tribunal Constitucional tiende a otorgar una posición preferente a la libertad de expresión frente a otros derechos constitucionales, siempre y cuando los hechos comunicados se consideren de relevancia pública (STC 105/1983, STC 107/1988) y atendiendo a la veracidad de la información facilitada (STC 6/1988, STC 105/1990, STC 240/1992). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 Así el citado Tribunal afirma: "Dada su función institucional, cuando se produzca una colisión de la libertad de información con el derecho a la intimidad y al honor aquélla goza, en general, de una posición preferente y las restricciones que de dicho conflicto puedan derivarse a la libertad de información deben interpretarse de tal modo que el contenido fundamental del derecho a la información no resulte, dada su jerarquía institucional desnaturalizado ni incorrectamente relativizado. …resulta obligado concluir que en esa confrontación de derechos, el de la libertad de información transmitida sea veraz, y esté referida a asuntos públicos que son de interés general por las materias a que se refieren y por las personas que en ellos intervienen, contribuyendo, en consecuencia, a la formación de la opinión pública.” (STC 171/1990). En el mismo sentido se pronuncia la Sentencia 204/1997 indicando "las libertades del art. 20 de la Constitución no sólo son derechos fundamentales de cada ciudadano, sino también de condición de existencia de la opinión pública libre, indisolublemente unida al pluralismo político, que es su valor fundamental y requisito de funcionamiento del Estado democrático que, por lo mismo, transcienden el significado común y propio de los demás derechos fundamentales. …el valor preponderante de las libertades del art. 20 de la Constitución sólo puede verse apreciado y protegido cuando aquéllas se ejerciten en conexión con asuntos que son de interés general, por las materias a que se refieran y por las personas que en ellos intervienen y contribuyan, en consecuencia, a la formación de la opinión pública…” De conformidad con la doctrina constitucional expuesta y atendiendo a la circunstancia concurrente de la ausencia de relevancia pública o de interés general en la información divulgada en el anuncio publicado por la entidad INDUSTRIES METALIQUES SES PORTES S.L., se puede afirmar, que el derecho a la protección de datos personales recogido en la LOPD, en el presente caso, ocupa una posición preferente frente a la libertad de información invocada. Alega la entidad denunciada al acuerdo de audiencia previa que entendía que la incapacidad laboral transitoria del denunciante no se mantenía en secreto sino que era pública, a este respecto puede recordarse lo relativo al consentimiento del interesado y en este sentido, el artículo 6.1 y .2 de la LOPD dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El artículo 3 de la LOPD define en su apartado
4. h)como “Consentimiento del interesado” a “Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 conciernen.” La LOPD no requiere que el consentimiento se preste por escrito o con formalidades determinadas, pero sí exige que el consentimiento de los afectados sea “inequívoco”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, Fundamento Jurídico 7 primer párrafo, “(...) consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. En las alegaciones presentadas por la entidad denunciada se expresa que “se pretendía informar a la parte de la clientela de la empresa que no lo sabía, que la causa de la ausencia, de quien durante tanto tiempo ha formado parte de la empresa como dueño y como director técnico desempeñando una función de relevancia social de la misma, no era otra que la referida incapacidad laboral transitoria”. Se reconoce en esta afirmación que se informó de la situación laboral de un trabajador a la parte de la clientela que desconocía la misma y se informó desde un medio de comunicación local, externo a la empresa, por lo que la información llegó a toda la población del municipio. En este caso se informó de la situación laboral del denunciante no solo a los clientes que lo desconocían sino a los vecinos del municipio quienes tampoco lo sabían y quienes no debieron ser informados de tal circunstancia. Con relación a la prueba testifical anunciada relativa a esta cuestión cabe rechazarla por innecesaria, porque resulta suficientemente probado que la situación personal del denunciante, publicada en el periódico local, no era de público conocimiento y que se publicó para informar de ello a quienes no lo conocían, sin que quepa estimar que el hecho de que acudiera a su centro médico con normalidad, sea razón bastante para interpretar que dicha información no era secreto y podía ser utilizada por terceros para su divulgación. En este caso no se ha acreditado que el denunciante hubiera prestado el consentimiento para el tratamiento de sus datos realizado divulgándolos, y tampoco se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 ajusta el presente caso a ninguno de los supuestos exentos de tal consentimiento que recoge el apartado 2 del artículo 6 citado. No cabe por todo ello estimar lo alegado respecto de que el denunciante mantenía su situación de incapacidad laboral transitoria como un dato público y no como un dato secreto, toda vez que él sí puede disponer sobre sus datos personales como se ha visto. IV La LOPD califica la vulneración del deber de secreto como infracción grave. El artículo 44.3.
5. d)de dicha Ley califica como grave “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de esta Ley” En el presente caso, la difusión de los datos contenidos en el fichero Excel remitido por correo electrónico a los empleados de la empresa denunciada, es subsumible en el tipo de infracción calificada como grave. Por ello, se considera que la entidad SERVICIOS MEDICOS LABORALES DEL SUR, SLU ha incurrido en la infracción grave tipificada en el artículo 44.3.
6. d)de la LOPD. V La disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) ha añadido un nuevo apartado 6 al artículo 45 de la Ley 15/1999 de Protección de Datos en lugar del existente hasta su promulgación del siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
7. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
8. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. La Ley 30/1992, de 26 de noviembre de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común –que, al decir de su Exposición de Motivos (punto 14) recoge “los principios básicos a que debe C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 someterse el ejercicio de la potestad sancionadora de la Administración y los correspondientes derechos que de tales principios se derivan para los ciudadanos extraídos del Texto Constitucional y de la ya consolidada jurisprudencia sobre la materia”- sanciona el principio de aplicación retroactiva de la norma más favorable estableciendo en el artículo 128.2 que “las disposiciones sancionadoras producirán efecto retroactivo en cuanto favorezcan al presunto infractor”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
9. a)y
10. b)del citado apartado 6. Junto a ello se constata una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no consta vinculación relevante de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constan beneficios obtenidos como consecuencia de la comisión de la infracción. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00145/2013) a la entidad INDUSTRIES METALIQUES SES PORTES S.L con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
11. d)de la citada Ley Orgánica. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- Debido a la naturaleza de la infracción no se insta por parte de la Agencia la adopción de una concreta medida correctora. No obstante, se solicita se comuniquen las que de forma autónoma decida adoptar sin que quepa realizar valoración alguna por parte de esta institución al no existir medidas específicas cuya adopción garantice que en el futuro no se vuelva a producir infracción como la declarada. 3.- NOTIFICAR el presente Acuerdo a la entidad INDUSTRIES METALIQUES SES PORTES S.L. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 4.- NOTIFICAR el presente Acuerdo a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es