← España

A-00181-2016

1/7 Procedimiento Nº: A/00181/2016 RESOLUCIÓN: R/00746/2017 En el procedimiento A/00181/2016, instruido por la Agencia Española de Protección de Datos a la entidad FISCALSHORT, S.L., vista la denuncia presentada por BORA ESTETICA S.L.U., CHICHI ESTETICA S.L. ERAN ESTETICA S.L., JANA ESTETICA S.L.U., THREE HORSES CORDOBA S.L., y YOKO ESTETICA S.L.U., y en virtud de los siguientes ANTECEDENTES PRIMERO: En fecha 01/03/2016 tuvo entrada en esta Agencia denuncia formulada por Dña. A.A.A. en representación de las sociedades BORA ESTETICA S.L.U., CHICHI ESTETICA S.L., ERAN ESTETICA S.L., JANA ESTETICA S.L.U., THREE HORSES CORDOBA S.L. y YOKO ESTETICA S.L.U., en la que manifiesta que dichas sociedades tenían contratado el asesoramiento legal, fiscal y laboral con FISCALSHORT, S.L. (en adelante FISCALSHORT). Para el cumplimiento del servicio contratado las citadas sociedades entregaron a FISCALSHORT toda la documentación con datos de carácter personal, precisa para el cumplimiento del encargo (facturas de proveedores y emitidas a clientes, seguros sociales, nóminas de trabajadores, y diversa documentación). En fecha 31/12/2015 las citadas sociedades resolvieron el contrato de prestación de servicios suscrito con FISCALSHORT solicitándole la devolución de toda la documentación anteriormente citada y de la cual son responsables de su tratamiento. FISCALSHORT, entidad encargada del tratamiento por cuenta de las referidas sociedades se niega a la devolución de la documentación fiscal y laboral de las mismas, en concreto reconoce FISCALSHORT que tiene en su poder y se niega a devolver declaraciones tributarias de los ejercicios 2012,2013, 2014 y 2015, libros de facturas, balances, libros contables, altas y bajas de trabajadores, documentos TC1 y TC2, nóminas y documentación de la entidad de prevención de riesgos laborales (FREMAP) y de la Mutua de Accidentes de Trabajo y Enfermedades Profesionales (Mutua Universal). Adjunta a su denuncia copia de los siguientes documentos: - E-mails de fechas 04/01/2016 y 18/01/2016 remitidos por FISCALSHORT a Dña. A.A.A. (representante de las referidas sociedades) reclamándole sus honorarios tras lo cual devolverán la documentación de las mismas. - E-mail de fechas 20/01/2016 y 21/01/2016 remitidos a FISCALSHORT por el abogado de las referidas sociedades requiriendo la devolución de la documentación fiscal y laboral y solicitando que se acredite documentalmente SEGUNDO: Con fecha 28 de noviembre de 2016, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00181/2016. Dicho acuerdo fue notificado a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 FISCALSHORT mediante su publicación en el Boletín Oficial del Estado núm. 303 de fecha 16 de diciembre de 2016, al resultar infructuosa su notificación por correo certificado por resultar desconocida la entidad en el domicilio obrante en el expediente, conforme a lo establecido en los artículos 42 y 44 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. HECHOS PROBADOS PRIMERO: Las mercantiles BORA ESTETICA S.L.U., CHICHI ESTETICA S.L., ERAN ESTETICA S.L., JANA ESTETICA S.L.U., THREE HORSES CORDOBA S.L. y YOKO ESTETICA S.L.U., suscribieron con FISCALSHORT un contrato de asesoramiento legal y fiscal. Para el desarrollo de dicha prestación las mercantiles, en su calidad de responsables del fichero, entregaron a FISCALSHORT, encargada del tratamiento, documentación con datos personales tales como nóminas, facturas, seguros sociales, datos de clientes y proveedores, etc). SEGUNDO: En fecha 31/12/2015 las mercantiles BORA ESTETICA S.L.U., CHICHI ESTETICA S.L., ERAN ESTETICA S.L., JANA ESTETICA S.L.U., THREE HORSES CORDOBA S.L. y YOKO ESTETICA S.L.U. resolvieron el contrato suscrito con FISCALSHORT. TERCERO: Mediante correos electrónicos remitidos a FISCALSHORT en enero de 2016, las mercantiles BORA ESTETICA S.L.U., CHICHI ESTETICA S.L., ERAN ESTETICA S.L., JANA ESTETICA S.L.U., THREE HORSES CORDOBA S.L. y YOKO ESTETICA S.L.U. le solicitaron la devolución de documentación de las mercantiles obrante en su poder merced al referido contrato resuelto. CUARTO: FISCALSHORT respondió a los citados correos electrónicos remitidos por las citadas mercantiles negándose a la entrega de la documentación hasta que no se efectuara el abono de sus honorarios. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

  1. g)en relación con el artículo 36 de la LOPD. II El art. 6 de la LOPD establece en su apartado primero que “el tratamiento de datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”. A continuación, dicho precepto en su apartado segundo establece aquellos supuestos en los que no será preciso dicho consentimiento: “2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6 , de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” La LOPD define en su artículo 3: Tratamiento de datos: “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.”, y Responsable del fichero o tratamiento: “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. Encargado del tratamiento: la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento. En el presente caso están en juego los datos de los clientes, proveedores y trabajadores de las mercantiles BORA ESTETICA S.L.U., CHICHI ESTETICA S.L., ERAN ESTETICA S.L., JANA ESTETICA S.L.U., THREE HORSES CORDOBA S.L. y YOKO ESTETICA S.L.U. como responsables del fichero y tratamiento de los mismos para la gestión ordinaria de los asuntos relacionados con su actividad como empresas. Al mismo tiempo, para el cumplimiento de sus obligaciones legales (laborales, contables, fiscales) estas mercantiles contratan a FISCALSHORT para que lleve a cabo determinadas actividades (declaraciones tributarias, elaboración de nóminas, seguros sociales, facturación, etc.) para lo cual las mercantiles, mediante contrato suscrito al efecto, ceden a FISCALSHORT los datos personales de sus clientes, proveedores y trabajadores. Sin embargo esta cesión no es caracterizada por la LOPD como cesión cuando se enmarcan dentro del artículo 12 de la LOPD que indica: “Acceso a los datos por cuenta de terceros”. “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con el fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente.” El Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD) establece: “Artículo 20. Relaciones entre el responsable y el encargado del tratamiento 1. El acceso a los datos por parte de un encargado del tratamiento que resulte necesario para la prestación de un servicio al responsable no se considerará comunicación de datos, siempre y cuando se cumpla lo establecido en la Ley Orgánica 15/1999, de 13 de diciembre y en el presente capítulo. El servicio prestado por el encargado del tratamiento podrá tener o no carácter remunerado y ser temporal o indefinido. No obstante, se considerará que existe comunicación de datos cuando el acceso tenga por objeto el establecimiento de un nuevo vínculo entre quien accede a los datos y el afectado. 2. Cuando el responsable del tratamiento contrate la prestación de un servicio que comporte un tratamiento de datos personales sometido a lo dispuesto en este capítulo deberá velar por que el encargado del tratamiento reúna las garantías para el cumplimiento de lo dispuesto en este Reglamento. 3. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato al que se refiere el apartado 2 del artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente. No obstante, el encargado del tratamiento no incurrirá en responsabilidad cuando, previa indicación expresa del responsable, comunique los datos a un tercero designado por aquél, al que hubiera encomendado la prestación de un servicio conforme a lo previsto en el presente capítulo. Artículo 22. Conservación de los datos por el encargado del tratamiento 1. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento o al encargado que éste hubiese designado, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. No procederá la destrucción de los datos cuando exista una previsión legal que exija C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 su conservación, en cuyo caso deberá procederse a la devolución de los mismos garantizando el responsable del fichero dicha conservación. 2. El encargado del tratamiento conservará, debidamente bloqueados, los datos en tanto pudieran derivarse responsabilidades de su relación con el responsable del tratamiento.” III La infracción imputada del artículo 6.1 a FISCALSHORT lo es porque tras serle conferido por parte de las citadas mercantiles, el encargo del tratamiento de los datos de clientes, proveedores y trabajadores, llegado el momento en que cesa dicha habilitación (rescisión del contrato de prestación de servicios de asesoría legal y contable), el conservar dichos datos supone un tratamiento de datos personales no consentido por parte FISCALSHORT, habida cuenta que ya no existe el contrato que le exime del consentimiento para el tratamiento de los datos personales y por tanto el mantener en su poder los mismos, supone una infracción del artículo 6.1 de la LOPD. VI El apartado 6 al artículo 45 de la LOPD dispone: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  2. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  3. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
  4. a)y
  5. b)del citado apartado 6 del art. 45 LOPD. Junto a ello se constata una cualificada disminución de la culpabilidad del denunciado teniendo en cuenta que no consta vinculación relevante de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, y no constan beneficios obtenidos como consecuencia de la comisión de la infracción. No obra en el expediente pruebas que acrediten que FISCALSHORT haya cesado en el tratamiento inconsentido de los datos personales obrantes en su poder merced al contrato de prestación de servicios de asesoría legal y contable suscrito con las referidas mercantiles y que se resolvió en fecha 31/12/2015, por cuanto no consta que procediera a la devolución a las mercantiles de la documentación con datos personales (nóminas, seguros sociales, facturación, declaraciones tributarias…), lo cual vulnera lo dispuesto en el artículo 6.1 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00181/2016) a FISCALSHORT, S.L. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  6. b)de la citada Ley Orgánica. 2.- REQUERIR a FISCALSHORT, S.L. de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999 para que en el plazo de un mes desde este acto de notificación: 2.1.- CUMPLA lo previsto en el artículo 6.1 de la LOPD, cesando en el tratamiento sin consentimiento de los datos personales obrantes en su poder merced al contrato de prestación de servicios suscrito con las marciales BORA ESTETICA S.L.U., CHICHI ESTETICA S.L., ERAN ESTETICA S.L., JANA ESTETICA S.L.U., THREE HORSES CORDOBA S.L. y YOKO ESTETICA S.L.U. y resuelto en fecha 31/12/2015, instando a la devolución a la mismas de toda documentación que obre en su poder relativa a su labor de asesoría legal y contable prestada a dichas mercantiles. 2.2.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando prueba que acredite la devolución de la referida documentación. Se le advierte que en caso de no atender el citado requerimiento, podría incurrir en infracción tipificada en el artículo 44 de la LOPD y sancionable de acuerdo con lo dispuesto en el artículo 45 de la citada Ley Orgánica. 3.- NOTIFICAR el presente Acuerdo a FISCALSHORT, S.L. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.