1/9 Procedimiento Nº: A/00193/2015 RESOLUCIÓN: R/02305/2015 En el procedimiento A/00193/2015, instruido por la Agencia Española de Protección de Datos a la entidad COMERCIAL DYSER S.L., vista la denuncia presentada por Dña. A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 8 de septiembre de 2014 tiene entrada en esta Agencia un escrito de Dña. A.A.A. (en lo sucesivo la denunciante) en el que declara que el informe de gestión de la Cuentas Anuales del Ejercicio 2012, de la entidad Comercial Dyser, S.L. (en lo sucesivo el denunciado), presentado en el Registro Mercantil, hace publicidad sin exigencia legal que lo justifique, que inició proceso de enfermedad el 14/2/2012 y que interpuso demanda contra la empresa ante la Inspección de Trabajo. Aporta copia del citado documento donde puede leerse textualmente “Como hecho acaecido en el ejercicio 2012, pero como consecuencia de hechos de 2011, podemos indicar que a causa de la destitución del Administrador, xxxxxxx, en fecha 30 de noviembre de 2011, la esposa del mismo y empleada de la sociedad, Dª A.A.A., inicio un proceso de incapacidad laboral transitoria, en fecha 14/2/2012, y a posteriori, en el mes de mayo de 2012, presentó demanda judicial por Extinción de la Relación Laboral a instancias del trabajador, por acoso…” SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas se solicitó información a la entidad denunciada y de la documentación aportada se desprende lo siguiente:
- a)En el informe de gestión que formuló el administrador de la sociedad con referencia al ejercicio del año 2012, se indicó un hecho relevante que afectaba a las cuentas anuales de dicho ejercicio y que afectaban de forma significativa a la comprensión de la evolución así como de los resultados y situación de la sociedad, indicando que la empresa de la sociedad, la Sra. A.A.A., esposa del anterior administrador de la sociedad, había iniciado un proceso de ILT en fecha 14/2/2012 y a posteriori, en mayo de 2012, presentó demanda judicial por extinción de la relación laboral a instancias del trabajador, por acoso o mobbing y vulneración de derechos fundamentales. El acto de juicio se celebró en julio de 2012 quedando aplazado y en septiembre de 2012, previo a la celebración del juicio, se realizó acuerdo entre las partes, en la que se reconoció el despido objetivo y llegándose a un acuerdo de indemnización que se abonó en noviembre de 2012. Manifiestan que en el contexto del RD 1/2010 de Ley de Sociedades de Capital, artículo 262 se recoge el contenido del informe de gestión; “en la medida necesaria para la comprensión de la evolución, los resultados o la situación de la sociedad, este análisis incluirá tanto indicadores clave financieros como, cuando proceda, de carácter no financiero, que sean pertinentes respecto de la actividad empresarial concreta, incluida C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 información sobre cuestiones relativas al medio ambiente y al personal”. La empresa emitió el informe de gestión en el contexto de dicho artículo. La empresa Comercial Dyser S.L., emitió el Informe de Gestión, en el contexto del indicado Art. 262 de la Ley de Sociedades de Capital, por ser un hecho económico y personal relevante, pero sin ningún afán de incumplir ninguna norma, y puede ser que la redacción no fuera la más acertada, pero en el contexto de que las cuentas Anuales, y del Real Decreto 1514/2007, de 16 de noviembre por el que se aprueba el Plan General de Contabilidad, en su artículo 2, establece la obligatoriedad de dicho Plan, “El Plan General de Contabilidad será de aplicación obligatoria para todas las empresas, cualquiera que sea su forma jurídica,...”.
- b)Por otra parte manifiestan que en contexto del RD 1514/2007 por el que se aprueba el Plan General de Contabilidad, se establece que “las cuentas anuales de una empresa comprenden el balance, la cuenta de pérdidas y ganancias, el estado de cambios en el patrimonio neto, el estado de flujos de efectivo y la memoria. Estos documentos forman una unidad. No obstante, el estado de flujos de efectivo no será obligatorio para las empresas que puedan formular balance, estado de cambios en el patrimonio neto y memoria abreviados.” “Las cuentas anuales deben redactarse con claridad de forma que la información suministrada sea comprensible y útil para los usuarios al tomar sus decisiones económicas, debiendo mostrar la imagen fiel del patrimonio, de la situación financiera y de los resultados de la empresa, de conformidad con las disposiciones legales.” “La aplicación sistemática y regular de los requisitos, principios y criterios contables incluidos en los apartados siguientes deberá concluir a que las cuentas anuales muestren la imagen fiel del patrimonio, de la situación financiera y de los resultados de la empresa. A tal efecto, en la contabilización de las operaciones se atenderá a su realidad económica y no solo a su forma jurídica.” “Cuando se considere que el cumplimiento de los requisitos, principios y criterios contables incluidos en este Plan General de Contabilidad no sea suficiente para mostrar la mencionada imagen fiel, se suministrará en la memoria las informaciones complementarias precisas para alcanzar ese objetivo”
- c)Manifiestan que la empresa no tiene intención de incumplir ninguna norma pero por la trascendencia de un hecho tan destacable en los resultados de la empresa, se vio la necesidad de realizar una explicación detallada del mismo, puesto que influía en la actividad económica de la misma, así como en el resultado económico. La indemnización supuso para la empresa un montante tres veces el resultado del beneficio de la empresa en el ejercicio del año 2012.
- d)Aportan copia de la demanda que la denunciante presentó ante el Juzgado de lo social, citación a juicio del juzgado y copia del acuerdo alcanzado entre las partes acordando las indemnizaciones. Aportan copia del acuerdo alcanzado. TERCERO: Con fecha 21 de julio de 2015, el Director de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 procedimiento de apercibimiento A/00193/2015. Dicho acuerdo fue notificado a la denunciante y al denunciado. CUARTO: Con fecha 13/08/2015 se recibe en esta Agencia escrito del denunciado en el que comunica: <<…Que ha presentado ante el Registro Mercantil de Barcelona, nuevo INFORME DE GESTIÓN de la Sociedad, que formulo el Administrador de la Sociedad, con referencia al ejercicio del año 2012, RECTIFICANDO el que en su día se presentó, a los efectos de que sea sustituido, por el que en su día fue presentado, y rectificado en los puntos necesarios indicados por la LOPD. Acompaña a la presente copia del nuevo Informe de Gestión del ejercicio 2012, así como copia de su presentación ante el Registro Mercantil de Barcelona, en solicitud de que sea sustituido por RECTIFICACION…>> QUINTO: Con fecha 24/08/2015 se recibe en esta Agencia escrito de la denunciante personándose en el procedimiento. HECHOS PROBADOS PRIMERO: Con fecha de 8 de septiembre de 2014 tiene entrada en esta Agencia escrito de la denunciante comunicando que el informe de gestión de la Cuentas Anuales del Ejercicio 2012, del denunciado, presentado en el Registro Mercantil, hace referencia a que inició proceso de enfermedad el 14/2/2012 y que interpuso demanda contra la empresa ante la Inspección de Trabajo. Aporta copia del citado documento donde puede leerse textualmente “Como hecho acaecido en el ejercicio 2012, pero como consecuencia de hechos de 2011, podemos indicar que a causa de la destitución del Administrador, xxxxxxx, en fecha 30 de noviembre de 2011, la esposa del mismo y empleada de la sociedad, Dª A.A.A., inicio un proceso de incapacidad laboral transitoria, en fecha 14/2/2012, y a posteriori, en el mes de mayo de 2012, presentó demanda judicial por Extinción de la Relación Laboral a instancias del trabajador, por acoso…” (folios 80 a 82) SEGUNDO: Con fecha 13/08/2015 se recibe en esta Agencia escrito del denunciado en el que comunica: <<…Que ha presentado ante el Registro Mercantil de Barcelona, nuevo INFORME DE GESTIÓN de la Sociedad, que formulo el Administrador de la Sociedad, con referencia al ejercicio del año 2012, RECTIFICANDO el que en su día se presentó, a los efectos de que sea sustituido, por el que en su día fue presentado, y rectificado en los puntos necesarios indicados por la LOPD. Acompaña a la presente copia del nuevo Informe de Gestión del ejercicio 2012, así como copia de su presentación ante el Registro Mercantil de Barcelona, en solicitud de que sea sustituido por RECTIFICACION…>> (folios 226 a 233) FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II La Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) en sus art. 1 y 2.1) establece: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar.” “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado.” III La LOPD delimita su ámbito de aplicación en el párrafo primero de su artículo 2.1, definiendo el concepto de dato de carácter personal en su artículo 3.
- a)como “cualquier información concerniente a personas físicas identificadas o identificables”. El tratamiento de datos se define en la letra
- c)del mismo precepto como las “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. A la vista de lo anterior, se deduce que el nombre y apellidos de una persona física ha de ser considerados como datos de carácter personal y su tratamiento sometido a la citada Ley Orgánica, por lo que, con carácter general, no será posible su utilización o cesión si el interesado no ha dado su consentimiento para ello. IV La LOPD dispone en el artículo 4 bajo la rúbrica “Calidad de los datos”: “1. Los datos de carácter personal sólo se podrán recoger para su tratamiento así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido”. El citado artículo 4.1 de la LOPD consagra el “principio de pertinencia en el tratamiento de los datos”, manifestación del principio de calidad de los datos, conforme C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 al cual sólo está permitido su tratamiento cuando sean adecuados, idóneos y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido. A tenor del referido principio queda vetado el tratamiento de aquellos datos que “no sean necesarios o proporcionados” a la finalidad que lo justifica, debiendo impedirse el tratamiento de los que sean excesivos o inadecuados o bien procederse a su supresión. En consecuencia, el tratamiento de un dato personal ha de ser en todo caso adecuado, oportuno y no excesivo en relación con el fin perseguido. Este criterio aparece recogido en el artículo 6 de la Directiva 95/46/CE y en el Convenio 108, cuyo artículo 5
- c)señala que "los datos de carácter personal que sean objeto de un tratamiento automatizado (...) serán adecuados, pertinentes y no excesivos en relación con las finalidades para las cuales se hayan registrado”. Ahora bien, la pertinencia en el tratamiento de los datos no sólo es exigible durante su recogida e introducción en el fichero, sino que debe respetarse, en todo caso, en el tratamiento posterior que de los datos se haga por el responsable del fichero. En el presente caso, los hechos denunciados, que los datos personales de la denunciante (nombre, apellidos y el hecho de ser esposa del anterior Administrador de la empresa al que se identifica con sus datos personales) se reflejen en el informe de gestión de la Cuentas Anuales del Ejercicio 2012, de la entidad denunciada, presentado en el Registro Mercantil, pueden constituir una infracción del art. 4.1 de la LOPD. V Dicha infracción aparece tipificada en el artículo 44.3.
- c)de la LOPD al establecer que son infracciones graves: “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”, pudiendo ser sancionada con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. La infracción recogida en el artículo 44.3.
- c)de la LOPD se ajusta al principio de tipicidad, dado que el citado precepto incluye en la descripción de la conducta, como elemento integrante del tipo sancionador, la vulneración de los principios recogidos en el Título II de la Ley Orgánica 15/1999, entre los que figuran el de calidad de los datos y en particular el principio de pertinencia en el tratamiento de los datos, artículo 4.1. En Sentencia de 27 de octubre de 2010 la Audiencia Nacional manifestó en relación al tipo sancionador establecido en el artículo 44.3.d): “Sucede así que, como ya dijimos en la Sentencia de 8 de octubre de 2003 (recurso 1.821/01) el mencionado artículo 44.3
- d)de la Ley Orgánica 15/1999, aun no siendo, ciertamente, un modelo a seguir en lo que se refiere a claridad y precisión a la hora de tipificar una conducta infractora, no alberga una formulación genérica y carente de contenido como afirma la demandante. La definición de la conducta típica mediante la expresión “tratar los datos de carácter personal...” no puede ser tachada de falta de contenido pues nos remite directamente a cualquiera de las concretas actividades que el artículo 3.
- d)de la propia Ley incluye en la definición de “tratamiento de datos” (recogida, grabación, conservación, elaboración, ... de datos de carácter personal). Y tampoco cabe tachar de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 excesivamente genérico o impreciso el inciso relativo a que el tratamiento o uso de los datos se realice “... con conculcación de los principios y garantías establecidos en la presente Ley...”, pues tales principios y garantías debidamente acotados en el Título II del propio texto legal bajo las rúbricas de Principios de la Protección de Datos (artículos 4 a 12) y Derechos de las Personas (artículos 13 a 19)” VI No obstante, la disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) ha añadido un nuevo apartado 6 al artículo 45 de la Ley 15/1999 de Protección de Datos, en lugar del existente hasta su entrada en vigor, del siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
- a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
- b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
- a)y
- b)del citado apartado 6. Junto a ello se constata una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no consta vinculación relevante de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constan beneficios obtenidos como consecuencia de la comisión de la infracción. En el presente caso, ha quedado acreditado que el denunciado ha comunicado a esta Agencia las medidas correctoras adoptada. Teniendo en cuenta estas circunstancias, no procede requerimiento alguno. VII La sentencia de la Audiencia Nacional, Sala de lo Contencioso-Administrativo, Sección Primera, recurso 455/2011, de 29/11/2013, analiza el apercibimiento como un acto de naturaleza no sancionadora, como se deduce del fundamento de derecho Sexto: <<…Debe reconocerse que esta Sala y Sección en alguna ocasión ha calificado el apercibimiento impuesto por la AEPD, en aplicación del artículo examinado, como sanción (SAN de 7 de junio de 2012, rec. 285/2010), y en otros casos ha desestimado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 recursos contencioso-administrativos interpuestos contra resoluciones análogas a la recurrida en este procedimiento, sin reparar en la naturaleza no sancionadora de la medida expresada (SSAN de 20 de enero de 2013, rec. 577/2011, y de 20 de marzo de 2013, rec. 421/2011). No obstante, los concretos términos en que se ha suscitado la controversia en el presente recurso contencioso-administrativo conducen a esta Sala a las conclusiones expuestas, corrigiendo así la doctrina que hasta ahora venía presidiendo la aplicación del artículo 45.6 de la LOPD…>> Además, la sentencia interpreta o liga apercibimiento o apercibir con el requerimiento de una actuación para subsanar la infracción, y si no existe tal requerimiento, por haber cumplido las medidas esperadas relacionadas con la infracción, no sería apercibimiento, sino archivo, como se deduce del citado fundamento de derecho: <<…Pues bien, en el caso que nos ocupa el supuesto concreto, de entre los expresados en el apartado quinto del artículo 45, acogido por la resolución administrativa recurrida para justificar la aplicación del artículo 45.6 de la LOPD es el primero, pues aprecia “una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no consta vinculación relevante de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constan beneficios obtenidos como consecuencia de la comisión de la infracción”, tal y como expresa su fundamento de derecho VII. Por ello, concurriendo las circunstancias que permitían la aplicación del artículo 45.6 de la LOPD, procedía “apercibir” o requerir a la denunciada para que llevara a cabo las medidas correctoras que la Agencia Española de Protección de Datos considerase pertinentes, en sustitución de la sanción que de otro modo hubiera correspondido. No obstante, dado que resultaba acreditado que la denunciada por iniciativa propia había adoptado ya una serie de medidas correctoras, que comunicó a la Agencia Española de Protección de Datos, y que esta había verificado que los datos del denunciante no eran ya localizables en la web del denunciado, la Agencia Española de Protección de Datos no consideró oportuno imponer a la denunciada la obligación de llevar a cabo otras medidas correctoras, por lo que no acordó requerimiento alguno en tal sentido a ésta. Recuérdese que al tener conocimiento de la denuncia la entidad denunciada, procedió por iniciativa propia a dirigirse a Google para que se eliminara la URL donde se reproducían la Revista y el artículo, a solicitar a sus colaboradores que suprimieran cualquier nombre de sus artículos o cualquier otra información susceptible de parecer dato personal y que revisaran las citas del área privada de la web para borrar cualquier otro dato sensible, y, por último, a revisar la configuración de los accesos para que los buscadores no tuvieran acceso a las Revistas. En consecuencia, si la Agencia Española de Protección de Datos estimaba adoptadas ya las medidas correctoras pertinentes en el caso, como ocurrió, tal y como expresa la resolución recurrida, la actuación administrativa procedente en Derecho era al archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la entidad denunciada, pues así se deduce de la correcta interpretación del artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. Por el contrario, la resolución administrativa recurrida procedió a “apercibir” a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 entidad PYB ENTERPRISES S.L., aunque sin imponerle la obligación de adoptar medida correctora alguna, lo que solo puede ser interpretado como la imposición de un “apercibimiento”, entendido bien como amonestación, es decir, como sanción, o bien como un mero requerimiento sin objeto. En el primer caso nos hallaríamos ante la imposición de una sanción no prevista en la LOPD, con manifiesta infracción de los principios de legalidad y tipicidad en materia sancionadora, previstos en los artículos 127 y 129 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, y en el segundo supuesto ante un acto de contenido imposible, nulo de pleno derecho, de conformidad con lo previsto en el artículo 62.1.
- c)de la misma Ley…>> En el presente caso, ha quedado acreditado que el denunciado ha comunicado a esta Agencia las medidas correctoras adoptada cumpliendo la finalidad del apercibimiento, por todo ello, procede el archivo del presente procedimiento, dada la naturaleza del mismo. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR el procedimiento (A/00193/2015) seguido contra COMERCIAL DYSER, S.L. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 4.1 de la LOPD, tipificada como grave en el artículo 44.3.
- c)de la citada Ley Orgánica. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- NOTIFICAR el presente Acuerdo a COMERCIAL DYSER, S.L. 3.- NOTIFICAR el presente Acuerdo a Dña. A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es