A-00168-2013

1/7 Procedimiento Nº: A/00168/2013 RESOLUCIÓN: R/02413/2013 En el procedimiento A/00168/2013, instruido por la Agencia Española de Protección de Datos a la entidad ARAS MANTENIMIENTO S.L., vista la denuncia presentada por Dña A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fechas 19 de noviembre de 2012 se ha recibido en el registro de la Agencia Española de Protección de Datos escritos de Dña. A.A.A. el que se pone de manifiesto los siguientes hechos: La empresa ARAS MANTENIMIENTO SL ha expedido un certificado a solicitud de su ex marido y ha sido presentado en un procedimiento judicial. Adjunto a la denuncia se ha aportado copia del mencionado certificado, de fecha 11 de julio de 2012, en el cual la empresa ARAS MANTENIMIENTO SL certifica que la denunciante es trabajadora de dicha compañía y que se le ha ofrecido en reiteradas ocasiones la ampliación de su horario de trabajo que había sido reducido por deseo expreso de la denunciante, siendo siempre la respuesta negativa. SEGUNDO: A la vista de los hechos denunciados, se realizaron por los Servicios de Inspección de esta Agencia actuaciones previas con objeto de determinar si el tratamiento de los datos personales que se realiza, cumple las condiciones que impone la citada normativa, teniendo conocimiento de las siguientes cuestiones: Con fechas 23 de enero y 24 de mayo de 2013 se ha solicitado información a ARAS MANTENIMIENTO SL y de la respuesta recibida con fecha de registro de entrada a esta Agencia el 12 de junio de 2013 se desprende: 1. ARAS MANTENIMIENTO SL manifiesta que la denunciante ha otorgado su consentimiento para la expedición del certificado de forma inequívoca en el momento de iniciar la relación laboral con la empresa y aporta certificado donde se hace constar que un tercero presenció que la denunciante fue informada verbalmente por parte de la empresas de los siguientes aspectos:  Que sus datos pasarían a formar parte de un fichero automatizado propiedad de esta empresa, que es la destinataria y responsable de la información que ella prestaba en ese momento de forma voluntaria.  Que sus datos se utilizarán para la GESTIÓN DE RECURSOS HUMANOS, LABORAL Y DE SEGURIDAD SOCIAL que esta empresa realiza por sí o por medio de su Asesoría, lo cual no se podría llevar a cabo si no aportaba Dña. A.A.A. la información correspondiente…  Que sus derechos de oposición, acceso, cancelación y rectificación que la Ley le C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 otorga podía ejercerlos mediante escrito dirigido a la dirección de la empresa, mediante escrito que le sería facilitado por ésta misma tras su petición escrita.  Que sus datos serían utilizados para el fin antes descrito, y que podrían ser cedidos a un tercero a requerimiento de un organismo administrativo, o si se tratara de certificar situaciones reales y veraces a ratificar por la Empresa en procesos judiciales.  Que enterada y conforme, Dña. A.A.A. consintió expresamente dicho tratamiento y cesión de los datos que voluntariamente ofreció. 2. En relación con la persona u organismo que solicitó el certificado, ARAS MANTENIMIENTO SL manifiesta que dicha información fue solicitada por una abogada de Zaragoza, habiendo además indicado que se debería ratificar en sede judicial. Y, al tratarse de hechos que se corresponden con la realidad, y de un documento para presentar en sede Judicial a ratificar por la Dirección de la Empresa en presencia de un Juez, se entiende su expedición comprendida dentro de la ley y amparada por el consentimiento dado por la trabajadora. TERCERO: Con fecha 13 de septiembre de 2013, el Director de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00168/2013. Dicho acuerdo fue notificado a la denunciante y a la entidad denunciada. CUARTO: Con fecha 2 de octubre de 2013 se recibe en esta Agencia escrito de la entidad denunciada en el que comunica que el certificado se emitió porque recibieron un escrito de una abogada que requirió dicha información de la trabajadora insistiendo en que dicho certificado era necesario para aportarlo al Juzgado. Prosigue manifestando que como se recabó el consentimiento de la trabajadora en el que expresamente se incluía el supuesto de comunicación de datos a la Administración de Justicia, se considera que la empresa no ha cometido ninguna infracción, ya que considera que contaba con el consentimiento para ello y porque se dio la circunstancia de que la información se recabó para el conocimiento del Sr. Magistrado actuante. Por último, manifiestan que la empresa cumple con lo dispuesto en la LOPD y su Reglamento de desarrollo, teniendo inscritos los ficheros en el Registro General de esta Agencia, aplicando su documento de seguridad, y habiendo recurrido a una empresa último, manifiestan que la empresa cumple con lo dispuesto en la LOPD y su Reglamento de desarrollo, teniendo inscritos los ficheros en el Registro General de esta Agencia, aplicando su documento de seguridad, y habiendo recurrido a una empresa externa que se encarga de dicho cumplimiento. HECHOS PROBADOS PRIMERO: Consta que en fecha 19 de noviembre de 2012 se ha recibido en el registro de la Agencia Española de Protección de Datos escritos de Dña. A.A.A. el que se pone de manifiesto los siguientes hechos: La empresa ARAS MANTENIMIENTO SL ha expedido un certificado a solicitud de su ex marido y ha sido presentado en un procedimiento judicial. Adjunto a la denuncia se ha aportado copia del mencionado certificado, de fecha 11 de julio de 2012, en el cual la empresa ARAS MANTENIMIENTO SL certifica que la denunciante es trabajadora de dicha compañía y que se le ha ofrecido en reiteradas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 ocasiones la ampliación de su horario de trabajo que había sido reducido por deseo expreso de la denunciante, siendo siempre la respuesta negativa. SEGUNDO: Consta que la entidad manifiesta que el certificado se emitió porque lo solicitó una abogada de Zaragoza para aportarlo a un procedimiento judicial, y que al tratarse de datos que se corresponden con la realidad y de un documento para presentar en sede judicial se entendía que dicha expedición estaba comprendida dentro de la Ley. TERCERO: Consta que la entidad manifiesta que la trabajadora fue informada verbalmente de que sus datos serían incorporados a un fichero de la empresa, y que podrían ser cedidos a un tercero a requerimiento de un organismo administrativo, o si se tratara de certificar situaciones reales y veraces a ratificar por la empresa en procesos judiciales. CUARTO: Consta que la entidad ARAS MANTENIMIENTO SL tiene inscritos en el Registro General de esta Agencia, los ficheros con denominación: “Clientes”, “Clientes y/o Proveedores”, “Laboral”, “Nóminas personal y Recursos Humanos”. “Prevención de Riesgos Laborales” y “Proveedores”. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II En el caso que nos ocupa, se denunciaba que la entidad ARAS MANTENIMIENTO SL había expedido al cónyuge de la denunciante, con el que estaba en proceso de divorcio, un certificado en el que se recogía “A solicitud de B.B.B. HAGO CONSTAR: Que A.A.A. es trabajadora de ARAS MANTENIMIENTO S.L.: Que, por necesidades de la empresa, se le ha ofrecido a esta trabajadora, reiteradamente, una ampliación de su horario de trabajo, ya que, por expreso deseo de la misma, este había sido reducido, considerando además, que dada su situación personal, precisaba obtener más ingresos, siendo la respuesta de la trabajadora negativa, alegando que no podía realizar una jornada de trabajo más amplia….” Tras tenerse conocimiento de estos hechos, por parte de la Subdirección General de Inspección se realizaron las correspondientes actuaciones de inspección, y como resultado, por parte del Director de esta Agencia se acordó la apertura de un procedimiento de apercibimiento, por una infracción del art. 10 LOPD. Dicho art. 10 establece: “ el responsable del fichero y quienes intervengan en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero, o en su caso, con el responsable del mismo.” El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Este deber de secreto comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30/11, y por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. En el caso que nos ocupa, ha quedado acreditado que la entidad para la que la denunciante prestaba sus servicios, había comunicado en el certificado emitido una información de la denunciante a una Abogada, que supone una vulneración del deber de secreto recogido en el art. 10 LOPD. Tras recibirse el acuerdo de audiencia, la entidad responsable ha manifestado que dicho certificado se expidió porque fue solicitado por “una Abogada de Zaragoza” y se hizo porque “era necesario para aportarlo al Juzgado, y que se citaría judicialmente a la representante de la empresa para que lo ratificara en juicio como testigo”. Asimismo, manifiesta que del mismo, “exclusivamente tuvo conocimiento el Sr. Magistrado actuante y las partes del proceso de divorcio contencioso.” En este sentido, es necesario hacer referencia al art. 11 de la LOPD, referido a la comunicación de datos, que establece: “Los datos de carácter personal objeto de tratamiento solo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y cesionario con el previo consentimiento del interesado”. No obstante, en el apartado 2.
2. d)de este mismo artículo se establece: “El consentimiento exigido en el apartado anterior no será preciso: cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 La entidad denunciada manifiesta que el certificado se emitió a solicitud de una Abogada, y de acuerdo con la documentación obrante en el expediente, se realizó a nombre del ex cónyuge de la denunciante. Por tanto en este caso, no se trataba de facilitar documentación requerida por los destinatarios señalados en el art. 11.2.
3. d)o utilizada por la entidad ARAS MANTENIMIENTO S.L. en defensa de sus intereses y al amparo del derecho a la tutela judicial efectiva, sino de la entrega a terceros de una información con una finalidad particular, ajena a los intereses de la entidad responsable de la información, no entrando dentro de los supuestos recogidos en el art. 11.2.
4. c)de la LOPD. En este sentido se pronuncia también la STS de 17 de noviembre de 2009 cuando establece en el Fundamento de Derecho Tercero, con respecto a la interpretación que deba darse al art. 11.2.
5. d)de la LOPD: “la excepción solo se predica de comunicaciones de datos con los concretos destinatarios que se indican y en el ejercicio de sus funciones, lo que necesariamente implica una comunicación directa y que la misma se produzca a requerimiento del destinatario en el ejercicio de sus funciones, circunstancias que ha de valorar el responsable dl fichero para emitir la correspondiente comunicación de datos al amparo de dicha excepción, que, además, y por su propia naturaleza, ha de interpretarse en sentido estricto. No son estas las circunstancias del caso, que se refiere a la utilización de datos personales por los letrados intervinientes en determinados procesos judiciales a la hora de formular y proponer sus pruebas…, de manera que no se trata de una comunicación de datos dirigida al Juez ni a la solicitud de éste en el ejercicio de sus funciones, …, sino que, en su caso, la comunicación de datos se dirigió a otros destinatarios distintos de los establecidos en el referido art. 11.2.
6. d)de la LOPD y para la utilización en defensa de sus propios intereses, aun cuando se produjera en distintos procesos judiciales, sin que a tal efecto pueda confundirse la finalidad del uso de tales datos en el proceso, lograr la convicción del Juez en relación con los hechos que se pretenden acreditar, con el destinatario de la cesión de los datos que evidentemente no era el Juez sino aquellos que se sirvieron de ellos en defensa de sus propios intereses en tales procesos y sin que el hecho de que se admita una prueba legitime la actuación de los mismos en su proposición que no se ajuste al ordenamiento jurídico. Ello es suficiente para concluir que la cesión de datos en tales condiciones no puede ampararse en la excepción prevista en el art. 11.2.
7. d)de la LOPD”. Por tanto, en el presente caso en que ha quedado acreditado que la entidad denunciada ha infringido lo dispuesto en el art. 10 de la LOPD procede apercibir a la entidad ARAS MANTENIMIENTO S.L., pero no se va a requerir ningún tipo de medida. III La vulneración del deber de secreto aparece tipificada como infracción grave en el artículo 44.3.
8. d)de la LOPD. En este precepto se establece lo siguiente: “
9. d)La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En el presente caso, según ha quedado expuesto, consta acreditado que al entidad ARAS MANTENIMIENTO S.L. ha comunicado los datos de la denunciante a un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 tercero, no habiéndose acreditado que hubiese prestado el consentimiento necesario para ello. Por tanto, se concluye que la conducta imputada a la entidad ARAS MANTENIMIENTO S.L. se ajusta a la tipificación prevista en el 44.3.
10. d)de la LOPD. IV La disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) ha añadido un nuevo apartado 6 al artículo 45 de la Ley 15/1999 de Protección de Datos en lugar del existente hasta su promulgación del siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
11. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
12. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
13. a)y
14. b)del citado apartado 6. Junto a ello se constata una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no consta vinculación relevante de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constan beneficios obtenidos como consecuencia de la comisión de la infracción. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00168/2013) a la entidad ARAS MANTENIMIENTO S.L. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
15. d)de la citada Ley Orgánica. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- NOTIFICAR el presente Acuerdo a ARAS MANTENIMIENTO S.L. 3.- NOTIFICAR el presente Acuerdo a Dª. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es