1/8 Procedimiento Nº: A/00164/2016 RESOLUCIÓN: R/02599/2016 En el procedimiento A/00164/2016, instruido por la Agencia Española de Protección de Datos a la entidad HERCULES AUXILIARES Y MULTISERVICIOS, S.L., vista la denuncia presentada por Dña. B.B.B. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de16 de junio de 2014, tuvo entrada en esta Agencia un escrito de Dña. B.B.B. (en lo sucesivo la denunciante) en el que ponía de manifiesto la recepción de un correo electrónico en el que se le ofrecía un puesto de trabajo de la empresa HERCULES AUXILIARES Y MULTISERVICIOS, S.L. (en lo sucesivo HERCULES AUXILIARES), en la que figuran su nombre y apellidos, D.N.I. y domicilio. La denunciante manifiesta que nunca ha facilitado sus datos a la citada empresa ni autorizado a ninguna otra empresa a que le hubiera cedido sus datos. La denunciante aporta copia del citado correo, que consta remitido a su dirección A.A.A., con fecha 29 de mayo de 2014, desde la dirección ....@herculesmultiservicios.es, firmado por D.D.D. Secretaría de Dirección de Hércules Auxiliares y Multiservicios S.L. El correo contiene un fichero adjunto en formato Word denominado OFERTA DE EMPLEO.docx, del cual aporta copia impresa, y en el que figuran sus datos de nombre y apellidos, DNI y dirección, y que contiene una oferta de trabajo de la empresa Hércules Auxiliares y Multiservicios S.L, firmada por el Director Comercial C.C.C.. Con fecha 11 de mayo de 2015, la denunciante aporta las cabeceras del correo recibido Con fecha 25 de agosto de 2015, mediante Resolución de la Directora de la Agencia, ordenando la caducidad de las actuaciones previas E/06037/2014 fruto de la denuncia así como la apertura de nuevas actuaciones de inspección E/05308/2015 con objeto de depurar la presunta responsabilidad administrativa en la que haya podido incurrir la entidad denunciada. SEGUNDO: En el marco de las actuaciones de inspección E/05308/2015 de tuvo conocimiento de los siguientes extremos conforme al informe de actuaciones que se transcribe: “ACTUACIONES PREVIAS Se verifica que el dominio de internet herculesmultiservicios.es está registrado por HERCULES MULTISERVICIOS con fecha de alta 15 de noviembre de 2011. Así mismo, se comprueba que los datos de la denunciante no constan en los repertorios accesibles a través de internet “Páginas Blancas”. Con fecha 3 de noviembre de 2015, la empresa HERCULES AUXILIARES Y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 MULTISERVICIOS S.L., ha remitido a esta Agencia la siguiente información en relación con los hechos denunciados. 1. No tienen ningún dato relativo a la denunciante en sus ficheros. 2. La persona que firma la oferta de trabajo recibida por la denunciante: C.C.C., como Director Comercial, no es ni ha sido nunca trabajador de la empresa. 3. El citado señor, ocupaba dicho puesto en la empresa KAPPA VIGILANCIA Y PROTECCION S.L., con la que compartían oficina, por lo que sospechan, que en algún descuido utilizó el ordenador de la trabajadora D.D.D. para realizar el envío del correo. 4. Desconocen el origen de los datos de la denunciante utilizados por el Sr. C.C.C. para remitir el correo con la oferta de trabajo, pudiendo ser que los consiguiera en el Salón de Seguridad que se celebró en Madrid en el año 2014, y al que asistió el citado señor. Con fecha 20 de noviembre de 2015, se mantiene una conversación telefónica con la empresa KAPPA VIGILANCIA Y PROTECCION S.L., en la que prestaba sus servicios C.C.C., según la información facilitada por HERCULES AUXILIARES Y MULTISERVICIOS S.L. En la conversación que se mantiene con la responsable de administración de la empresa, informa de que el Sr. C.C.C., es un ex trabajador de la empresa pero que hace más de un año que no presta sus servicios en la misma, desde hace más de un año y que no dispone de información respecto a su actual empresa. Por otra parte, se ha realizado una consulta en el Registro Mercantil Central de ambas empresas, verificando que no hay ninguna coincidencia en sus administradores y apoderados.” TERCERO: Con fecha 25 de abril de 2016, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00164/2016. Dicho acuerdo fue notificado a la denunciante y al denunciado. CUARTO: En el trámite de audiencia HERCULES AUXILIARES efectuó las siguientes alegaciones: 1ª El señor que firma la oferta como Director Comercial, D. C.C.C., no es ni ha sido nunca empleado de HERCULES AUXILIARES. 2º. Este señor, ocupaba dicho puesto en la empresa KAPPA VIGILANCIA Y PROTECCION S.L., con la que compartían oficina, por lo que sospechan, que en algún descuido utilizó el ordenador de la empleada de HERCULES AUXILIARES trabajadora D.D.D. para realizar el envío del correo. 3º Desconocen por qué canal pudo obtener el Sr. C.C.C. los datos de la Sra. B.B.B., a no ser que los consiguiera en el Salón de Seguridad que se celebró en Madrid en el año 2014, y al que asistió el citado señor. 4º No le constan en sus ficheros dato alguno referente a la denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 HECHOS PROBADOS PRIMERO: En fecha 29/05/2016 la denunciante recibió en su dirección de correo electrónico A.A.A., un correo electrónico remitido desde la dirección ....@herculesmultiservicios.es, por “ D.D.D. Secretaría de Dirección de Hércules Auxiliares y Multiservicios S.L.” El correo contenía un fichero adjunto en formato Word denominado OFERTA DE EMPLEO.docx en el que figuran sus datos de nombre y apellidos, DNI y domicilio, y que contiene una oferta de trabajo de HERCULES AUXILIARES, dirigida por “ C.C.C. Director Comercial”. SEGUNDO: El dominio de internet herculesmultiservicios.es está registrado por HERCULES MULTISERVICIOS con fecha de alta 15 de noviembre de 2011. TERCERO: Los datos de la denunciante no constan en los repertorios accesibles a través de internet “Páginas Blancas”. CUARTO: HERCULES AUXILIARES efectuó las siguientes manifestaciones: 1ª El señor que firma la oferta como Director Comercial, D. C.C.C., no es ni ha sido nunca empleado de HERCULES AUXILIARES. 2º. Este señor, ocupaba dicho puesto en la empresa KAPPA VIGILANCIA Y PROTECCION S.L., con la que compartían oficina, por lo que sospechan, que en algún descuido utilizó el ordenador de la empleada de HERCULES AUXILIARES trabajadora D.D.D. para realizar el envío del correo. 3º Desconocen por qué canal pudo obtener el Sr. C.C.C. los datos de la Sra. B.B.B., a no ser que los consiguiera en el Salón de Seguridad que se celebró en Madrid en el año 2014, y al que asistió el citado señor. 4º No le constan en sus ficheros dato alguno referente a la denunciante. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado”. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. Se puede afirmar, tal y como tiene sentado consolidada jurisprudencia del Tribunal Supremo - por todas las Sentencias de 8 de febrero de 1.964, 26 de mayo de 1.986 y 11 de junio de 1.991 - en interpretación del artículo 1.253 del Código Civil, que existen tres modos o formas básicas del consentimiento: expreso, manifestado mediante un acto positivo y declarativo de la voluntad; tácito, cuando pudiendo manifestar un acto de voluntad contrario, éste no se lleva a cabo, es decir, cuando el silencio se presume o se presupone como un acto de aquiescencia o aceptación; y presunto, que no se deduce ni de una declaración ni de un acto de silencio positivo, sino de un comportamiento o conducta que implica aceptación de un determinado compromiso u obligación. A efectos de la Ley Orgánica 15/1999 y con carácter general, son admisibles las dos primeras formas de prestar el consentimiento. En este sentido la Sentencia de la Audiencia Nacional de 21 de noviembre de 2007 ( Rec 356/2006) en su Fundamento de Derecho Quinto señala que “ por lo demás, en cuanto a los requisitos del consentimiento, debemos señalar que estos se agotan en la necesidad de que este sea “inequívoco”, es decir, que no exista duda alguna sobre la prestación de dicho consentimiento, de manera que en esta materia el legislador, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 mediante el articulo 6.1 de la LO de tanta cita, acude a un criterio sustantivo, esto es, nos indica que cualquiera que sea ,la forma que revista el consentimiento éste ha de aparecer como evidente, inequívoco – que no admite duda o equivocación- , pues éste y no otro es el significado del adjetivo utilizado para calificar al consentimiento. Por tanto, el establecimiento de presunciones o la alusión a la publicidad de sus datos en otro lugar resulta irrelevante, pues dar carta de naturaleza a este tipo de interpretaciones pulverizaría esta exigencia esencial del consentimiento, porque dejaría de ser inequívoco para ser “equivoco”, es decir, su interpretación admitiría varios sentidos y, por esta vía, se desvirtuaría la naturaleza y significado que desempeña como garantía en la protección de los datos, e incumpliría la finalidad que está llamado a verificar, esto es, que el poder de disposición de los datos corresponde únicamente a su titular” III De conformidad con lo expuesto ut supra, la jurisprudencia y el propio artículo 6 de la LOPD, exige que el responsable del tratamiento de los datos cuente con el consentimiento para el tratamiento de dichos datos personales, entendido estos de conformidad con las definiciones contenidas en el artículo 3 de la LOPD como: Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” Consentimiento del interesado como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Es preciso, por tanto, determinar si en el presente caso la actividad desarrollada por HERCULES AUXILIARES puede subsumirse o no en tales definiciones legales, es decir, si es responsable del fichero y/o tratamiento, y en caso afirmativo si está o no legitimado para el tratamiento de datos de la denunciante, y por ende verificar la prestación del consentimiento de ésta o la ausencia del mismo. IV En el presente caso ha quedado acreditado desde en fecha 29/05/2016 la denunciante recibió en su dirección de correo electrónico A.A.A., un correo electrónico remitido por HERCULES AUXILIERES desde la dirección ....@herculesmultiservicios.es, El correo contenía un fichero adjunto en formato Word denominado OFERTA DE EMPLEO.docx en el que figuran sus datos de nombre y apellidos, DNI y domicilio, una oferta de trabajo de HERCULES AUXILIARES. Por tanto resulta probado el tratamiento de datos de la denunciante efectuado por la citada C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 entidad que por otra parte, justifica el que dichos datos fueran remitidos a través de un correo electrónico de la entidad, en el hecho de que un trabajador de una empresa con la que compartían oficina debió utilizar un ordenador de HERCULES AUXILIARES para enviar el referido correo electrónico. Al margen de este referido tratamiento de datos, HERCULES AUXIKIARES manifiesta que no obran en sus ficheros datos personales de la denunciante, sin que quepa inferir lo contrario, y sin que se haya acreditado ningún tratamiento posteriori de los datos de la denunciante por parte de la citada entidad. Por tanto el tratamiento de los datos de la denunciante efectuado por HERCULES AUXIIARES con ocasión de la remisión del citado correo electrónico en el que se le informaba de una oferta de trabajo, constituye vulneración artículo 6.1 de la LOPD por cuanto la entidad no ha acreditado contar con el consentimiento de la denunciante para el referido tratamiento de sus datos personales V El artículo 44.3.
- b)de la LOPD, en su vigente redacción aprobada por Ley 2/2011, de 4 de marzo, de Economía Sostenible, tipifica como infracción grave: “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. Tomando en consideración los anteriores hechos y fundamentos de derecho cabe concluir que HERCULES AUXILIARES trató sin consentimiento los datos personales de la denunciante lo cual constituye la referida infracción del artículo 6.1 de la LOPD. VI Por otra parte, se tuvo en cuenta que el denunciado no ha sido sancionado o apercibido con anterioridad. En consecuencia, de conformidad con lo establecido en el artículo 45.6 de la LOPD, se acordó someter al denunciado a trámite de audiencia previa al apercibimiento, en relación con la denuncia por infracción del artículo 6 de la LOPD. El apartado 6 del artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
- a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
- b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. VII Ahora bien, en el presente caso, no obstante lo anterior, debe analizarse la circunstancia de que el apercibimiento que correspondería de acuerdo con el artículo 39 bis 2 de la LSSI, no tendría aparejado requerimiento o medida correctora alguna a adoptar por el denunciante toda vez que la infracción que se le imputada (art. 6.1 de la LOPD) si bien ha quedado acreditada por el tratamiento sin consentimiento de los datos personales de la denunciante contenidos en el correo electrónico recibido por ésta, procedente de HERCULES AUXILIARES, no es menos cierto que no se ha acreditado que los datos de la denunciante figuren en sus ficheros y por tanto no cabe requerir a la entidad el cese en el tratamiento de los mismos. A la vista de dicha situación, es obligado hacer mención a la Sentencia de la Audiencia Nacional de 29/11/2013, (Rec. 455/2011), Fundamento de Derecho Sexto, que aunque referida al apercibimiento regulado en el artículo 45.6 de la LOPD también resulta extrapolable al apercibimiento regulado en el artículo 39 bis 2 de la LSSI, advierte a propósito de la naturaleza jurídica de dicha figura que “no constituye una sanción”, tratándose de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. Así, la Sentencia entiende que el artículo 45.6 de la LOPD confiere a la Agencia Española de Protección de Datos una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de la misma, la Sentencia de la Audiencia Nacional citada concluye que cuando las medidas correctoras objeto del apercibimiento ya hubieran sido adoptadas por el infractor, lo procedente en Derecho es acordar el archivo de las actuaciones. En congruencia con la naturaleza atribuida al apercibimiento como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella, y considerando que el objeto del apercibimiento es la imposición de medidas correctoras, la SAN citada concluye que cuando éstas ya hubieran sido adoptadas, lo procedente en Derecho es acordar el archivo de las actuaciones. Lo mismo ha de entenderse en aquellos supuestos, como el analizado en las presentes actuaciones, en los que, por la naturaleza de los hechos determinantes de la infracción, no cabe imponer ninguna medida correctora dirigida a impedir que tales hechos se cometan de nuevo en el futuro, más allá de exigir al infractor el cese en la comisión de hechos similares y el compromiso de no reiterar la conducta sancionable. A la vista del pronunciamiento recogido en la Sentencia de la Audiencia Nacional de 29/11/2013 (Rec. 455/2011), y reforzado posteriormente en su Sentencia de fecha 10/06/2014 (Rec. 166/2013), referente a los supuestos en los que no procede la adopción de ninguna medida correctora, de acuerdo con lo señalado se debe acordar al archivo de las actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. ARCHIVAR el procedimiento (A/00164/2016) seguido a HERCULES AUXILIARES Y MULTISERVICIOS, S.L., con arreglo a lo dispuesto en el artículo 45.6 de la LOPD, con relación con la denuncia por infracción del artículo 6.1 de la citada norma. 2.NOTIFICAR el presente Acuerdo a HERCULES AUXILIARES Y MULTISERVICIOS, S.L., y a Dña. B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es