A-00215-2013

1/8 Procedimiento Nº: A/00215/2013 RESOLUCIÓN: R/00083/2014 En el procedimiento A/00215/2013, instruido por la Agencia Española de Protección de Datos a D. A.A.A., vista la denuncia presentada por TRAZA & CONTROL IBERICA, S.L.L. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 19 de noviembre de 2012 tiene entrada en esta Agencia un escrito de D. B.B.B., como administrador de TRAZA & CONTROL IBERICA, S.L.L. en el que declara que:  TRAZA & CONTROL IBERICA, S.L.L., adquirió, la cartera de clientes de la Sociedad TRAZABILIDAD Y CONTROL S.L.U., que a su vez era propiedad de ACERIBER (Asociación Española de Criadores de Ganado Porcino Selecto Ibérico Puro y Tronco Ibérico), según acredita con la copia del contrato de compraventa. La venta de los datos de los clientes fue comunicada a éstos por la vendedora mediante escrito de fecha 12 de marzo de 2012, cuya copia adjuntan.  Los clientes de la empresa han comenzado a recibir cartas publicitarias de la empresa OCA INSTITUTO DE CERTIFICACION S.L.U., firmadas por su Delegado D. A.A.A.. Aportan copia de uno de los escritos recibidos por un cliente.  D. A.A.A., trabajaba con anterioridad en TRAZABILIDAD Y CONTROL S.LU. (ACERIBER), de donde fue despedido y denunciado por la sustracción de un ordenador con las bases de datos de clientes, la cual fue retirada tras la devolución del equipo. Aportan copia de la carta de despido, la denuncia y la retirada de la misma.  Con fecha 24 de julio de 2012 remitieron un escrito por BUROFAX a OCA INSTITUTO DE CERTIFICACION S.L.U., informándoles de las actuaciones de su Delegado y solicitando que cesaran en la misma, según manifiestan no han recibido contestación. Aportan copia del citado BUROFAX.  Posteriormente varios clientes les han comunicado que siguen recibiendo comunicaciones y correos electrónicos de OCA INSTITUTO DE CERTIFICACION S.L.U., en particular uno de ellos les ha facilitado un correo electrónico recibido de una empleada de OCA INSTITUTO DE CERTIFICACION S.L.U., del que aportan copia, y en cuyo texto la remitente manifiesta que: “Como te dije mi compañero es A.A.A., antiguo trabajador de DI ACERIBER, por ese motivo tenemos los datos de los clientes”.  Mediante escrito de fecha de entrada en la Agencia 1 de febrero de 2013, el denunciante ha aportado copia de otros tres escritos recibidos de OCA C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 INSTITUTO DE CERTIFICACION S.L.U., y que le han sido facilitados por tres de sus clientes, así como copia de varios correos electrónicos con contenido comercial, recibidos por otros clientes y remitidos por la misma trabajadora de OCA INSTITUTO DE CERTIFICACION S.L.U. citada en el punto anterior.  Aportan copia de la denuncia presentada por la empresa ante LA GUARDIA CIVIL contra D. A.A.A., con fecha 22 de noviembre de 2011, por SUPUESTA APROPIACION INDEBIDA de un ordenador que contiene ficheros importantes relacionados con la actividad de la empresa.  Aportan, así mismo, copia de la sentencia del Juzgado de Instrucción nº 2 de ZAFRA (Badajoz), del Juicio de Faltas ***/11, de fecha 7 de diciembre de 2011, en la que se Absuelve al Sr. A.A.A. de los hechos de los que se le denuncia. SEGUNDO: A la vista de los hechos denunciados, se realizaron por los Servicios de Inspección de esta Agencia actuaciones previas con objeto de determinar si el tratamiento de los datos personales que se realiza, cumple las condiciones que impone la citada normativa, teniendo conocimiento de las siguientes cuestiones: Con fecha 4 de mayo de 2013, OCA INSTITUTO DE CERTIFICACION S.L.U. ha remitido a esta Agencia la siguiente información sobre los hechos denunciados: 1. Por los mismos hechos denunciados se siguen en el Juzgado de Instrucción nº 2 de ZAFRA (Badajoz), los autos de DILIGENCIAS PREVIAS nº ****/2012 por un presunto delito relativo al mercado y los consumidores previstos en el Código Penal, como consecuencia de una Querella interpuesta por TRAZA & CONTROL IBERICA S.L. contra D. A.A.A.. A este respecto aportan copia parcial de la denuncia así como de una Providencia del Juez de fecha 1 de abril de 2013, dentro de los citados autos. 2. Respecto a los correos electrónicos aportados por el denunciante tanto los que tienen contenido comercial como el correo en él la remitente se identifica como compañera de A.A.A., antiguo trabajador de DI ACERIBER, e indica que: “por ese motivo tenemos los datos de los clientes” y que figuran firmados por “C.C.C. OCA INSTITUTO DE CERTIFICACION S.L.U.”, manifiestan que dicha persona ni es ni ha sido empleada de la empresa OCA INSTITUTO DE CERTIFICACION S.L.U., y que dichos correos han sido remitidos desde la dirección ...@..., la cual pertenece a un dominio de internet distinto del de la empresa. 3. Respecto de los escritos comerciales remitidos en nombre de la empresa por D. A.A.A., manifiestan que aunque es trabajador de la empresa, dado que por los mismos hechos denunciados se sigue un Procedimiento Penal, la sociedad no puede aportar una información que se investiga judicialmente por la vía penal y en la que el citado trabajador ostenta la condición de querellado, la empresa no está legitimada para obtener información del trabajador si él solo desea facilitarla en sede judicial. 4. No obstante, manifiesta que carecen de documentación escrita en relación con el consentimiento de los destinatarios de los escritos publicitarios aportados por el denunciante, sin perjuicio de lo que resulte de la declaración judicial del querellado. 5. Con fechas 23 de agosto y 4 de octubre de 2013, se ha solicitado información a D. A.A.A., en relación con los hechos denunciados, remitiéndole las solicitudes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 al domicilio de la empresa OCA INSTITUTO DE CERTIFICACION S.L.U., ambos escritos han sido entregados por el Servicio de Correos, según consta en los Acuses de Recibo correspondientes, sin embargo el SR. A.A.A. no ha remitido a Agencia la información solicitada. TERCERO: Con fecha 29 de octubre de 2013, el Director de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00215/2013. Dicho acuerdo fue notificado a los denunciantes y al denunciado. CUARTO: Con fecha 29 de octubre de 2013 tuvo entrada en esta Agencia escrito de la persona denunciada, por el que procedía a contestar a las solicitudes de información efectuadas desde la Inspección. QUINTO Con fecha 15 de noviembre de 2013 se recibe en esta Agencia escrito del representante de la entidad denunciante en el que comunica su interés en actuar como interesado en el procedimiento. SEXTO: Con fecha 20 de noviembre de 2013 tiene entrada en esta Agencia escrito de D. A.A.A., mediante el que pone de manifiesto que, si bien no atendió el primer requerimiento, si se evacuó el segundo mediante escrito de fecha 22 de octubre de 2013. Dicho escrito tuvo entrada en el Registro de esta Agencia en fecha 29 de octubre de 2013. Que da por reproducidos íntegramente los argumentos expuestos en el referido escrito de 22 de octubre, que resumidos son los siguientes: • • • • • • • • El origen profesional de los datos de los destinatarios de los escritos remitidos. No existe un fichero propiamente de datos personales, porque los datos son datos profesionales de contacto con las personas a las que se remitió los escritos. A causa de ello y del origen profesional de los datos, no existe un documento específico de consentimiento. Cuando se hace referencia a los clientes, se trata de clientes profesionales, y no consumidores finales. No considera que exista infracción a la LOPD por tratarse de datos de profesionales o de contacto. Reitera que por estos hechos se siguen los autos de Diligencias Previas nº ****/2012 del Juzgado de Instrucción nº 2 de Zafra. Solicita que se tenga por presentado este escrito con sus copias y documentos adjuntos, se admita, tenga por hechas las anteriores manifestaciones, y por evacuado el trámite conferido, a los efectos de Derecho procedentes, y en su día y previos los trámites de rigor, se sirva dictar la oportuna resolución por la que se acuerde el archivo del expediente. Solicita que se practique una prueba documental consistente en que se incorpore a las actuaciones y se tenga por reproducido y presentado a todos los efectos el escrito de fecha de entrada 22/10/2013, presentado en la Subdelegación del Gobierno de Girona. HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 PRIMERO: Con fecha de 19 de noviembre de 2012 tiene entrada en esta Agencia un escrito de D. B.B.B., como administrador de TRAZA & CONTROL IBERICA, S.L.L. en el que declara que:  TRAZA & CONTROL IBERICA, S.L.L., adquirió, la cartera de clientes de la Sociedad TRAZABILIDAD Y CONTROL S.L.U., que a su vez era propiedad de ACERIBER (Asociación Española de Criadores de Ganado Porcino Selecto Ibérico Puro y Tronco Ibérico), según acredita con la copia del contrato de compraventa. La venta de los datos de los clientes fue comunicada a éstos por la vendedora mediante escrito de fecha 12 de marzo de 2012, cuya copia adjuntan.  Los clientes de la empresa han comenzado a recibir cartas publicitarias de la empresa OCA INSTITUTO DE CERTIFICACION S.L.U., firmadas por su Delegado D. A.A.A.. Aportan copia de uno de los escritos recibidos por un cliente.  D. A.A.A., trabajaba con anterioridad en TRAZABILIDAD Y CONTROL S.LU. (ACERIBER), de donde fue despedido y denunciado por la sustracción de un ordenador con las bases de datos de clientes, la cual fue retirada tras la devolución del equipo. Aportan copia de la carta de despido, la denuncia y la retirada de la misma.  Con fecha 24 de julio de 2012 remitieron un escrito por BUROFAX a OCA INSTITUTO DE CERTIFICACION S.L.U., informándoles de las actuaciones de su Delegado y solicitando que cesaran en la misma, según manifiestan no han recibido contestación. Aportan copia del citado BUROFAX.  Posteriormente varios clientes les han comunicado que siguen recibiendo comunicaciones y correos electrónicos de OCA INSTITUTO DE CERTIFICACION S.L.U., en particular uno de ellos les ha facilitado un correo electrónico recibido de una empleada de OCA INSTITUTO DE CERTIFICACION S.L.U., del que aportan copia, y en cuyo texto la remitente manifiesta que: “Como te dije mi compañero es A.A.A., antiguo trabajador de DI ACERIBER, por ese motivo tenemos los datos de los clientes”.  Mediante escrito de fecha de entrada en la Agencia 1 de febrero de 2013, el denunciante ha aportado copia de otros tres escritos recibidos de OCA INSTITUTO DE CERTIFICACION S.L.U., y que le han sido facilitados por tres de sus clientes, así como copia de varios correos electrónicos con contenido comercial, recibidos por otros clientes y remitidos por la misma trabajadora de OCA INSTITUTO DE CERTIFICACION S.L.U. citada en el punto anterior.  Aportan copia de la denuncia presentada por la empresa ante LA GUARDIA CIVIL contra D. A.A.A., con fecha 22 de noviembre de 2011, por SUPUESTA APROPIACION INDEBIDA de un ordenador que contiene ficheros importantes relacionados con la actividad de la empresa.  Aportan, así mismo, copia de la sentencia del Juzgado de Instrucción nº 2 de ZAFRA (Badajoz), del Juicio de Faltas ***/11, de fecha 7 de diciembre de 2011, en la que se Absuelve al Sr. A.A.A. de los hechos de los que se le denuncia. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 SEGUNDO: Consta que D. A.A.A. prestaba servicios en la entidad TRAZABILIDAD Y CONTROL S.LU. (ACERIBER), y que, tras su despido, pasó a prestar servicios en la entidad OCA INSTITUTO DE CERTIFICACION S.L.U. TERCERO: Consta que las dos entidades se dedican a la inspección y certificación a ganaderos e industrias. CUARTO: Consta que dichos servicios se prestan a entidades ganaderas o explotaciones. QUINTO: Consta que la entidad denunciante manifiesta que persona denunciada, al dejar de prestar servicios en la entidad TRAZABILIDAD Y CONTROL S.LU. (ACERIBER), utilizó datos de contacto de dichas ganaderías e industrias, para enviarles comunicaciones sobre los servicios prestados por la nueva entidad en la que presta servicios. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II El artículo 2.1 de la Ley Orgánica 15/1999 de 15 de Diciembre de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), al respecto del ámbito de aplicación de esta ley, establece: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”. Por su parte, el artículo 5 del Real Decreto 1720/2007, de 21 de diciembre, por el que se desarrollan determinados preceptos de la Ley Orgánica 15/1999, define el concepto de dato de carácter personal y persona identificable, estableciendo lo siguiente:
2. f)Datos de carácter personal: Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables. No obstante, los datos personales en ocasiones son utilizados tanto en el ámbito personal como en el profesional. En dichos supuesto la protección conferida por la LOPD se circunscribe al tratamiento de datos que se realice en al ámbito de la esfera del particular, no aplicándose a aquellos casos en los que el tratamiento hace referencia a su faceta profesional. El artículo 2.2 del Reglamento de desarrollo de la LOPD dispone que “Este Reglamento no será aplicable a los tratamientos de datos referidos a personas jurídicas, ni a los ficheros que se limiten a incorporar los datos de las personas físicas que presten C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 sus servicios en aquéllas, consistentes únicamente en su nombre y apellidos, las funciones o puestos desempeñados, así como la dirección postal o electrónica, teléfono y número de fax profesionales.” En diversas ocasiones se ha planteado ante la Agencia Española de Protección de Datos si los datos o direcciones de contacto se encuentran dentro del ámbito de aplicación de la LOPD, resolviéndose la citada cuestión en el informe elaborado por el Gabinete Jurídico de este Organismo como a continuación se transcribe: “La Agencia ha venido señalando que en los supuestos en que el tratamiento del dato de la persona de contacto es meramente accidental en relación con la finalidad del tratamiento, referida realmente a las personas jurídicas en las que el sujeto presta sus servicios, no resulta de aplicación lo dispuesto en la Ley Orgánica 15/1999, viniendo el Reglamento a plasmar este principio. No obstante, nuevamente, es necesario que el tratamiento del dato de la persona de contacto sea accesorio en relación con la finalidad perseguida. Ello se materializará mediante el cumplimiento de dos requisitos: El primero, que aparece expresamente recogido en el Reglamento será el de que los datos tratados se limiten efectivamente a los meramente necesarios para identificar al sujeto en la persona jurídica a la que presta sus servicios. Por este motivo, el Reglamento impone que el tratamiento se limite a los datos de nombre y apellidos, funciones o puestos desempeñados, dirección postal o electrónica, teléfono y número de fax profesionales”. De este modo, cualquier tratamiento que contenga datos adicionales a los citados se encontrará plenamente sometido a la Ley Orgánica 15/1999, por exceder de lo meramente imprescindible para identificar al sujeto en cuanto contacto de quien realiza el tratamiento con otra empresa o persona jurídica. El segundo de los límites se encuentra, como en el supuesto contemplado en el artículo 2.3, en la finalidad que justifica el tratamiento. Como se ha venido indicando reiteradamente, la inclusión de los datos de la persona de contacto debe ser meramente accidental o incidental respecto de la verdadera finalidad perseguida por el tratamiento, que ha de residenciarse no en el sujeto, sino en la entidad en la que el mismo desarrolla su actividad o a la que aquél representa en sus relaciones con quienes tratan los datos. De este modo, la finalidad del tratamiento debe perseguir una relación directa entre quienes traten el dato y la entidad y no entre aquéllos y quien ostente una determinada posición en la empresa. De este modo, el uso del dato debería dirigirse a la persona jurídica, siendo el dato del sujeto únicamente el medio para lograr esa finalidad. Así sucedería en caso de que el tratamiento responda a relaciones “business to business”, de modo que las comunicaciones dirigidas a la empresa, simplemente, incorporen el nombre de la persona como medio de representar gráficamente el destinatario de la misma.” En el caso que nos ocupa se denunciaba que un antiguo trabajador de la empresa había utilizado los datos de clientes de la misma para mandarles, desde la nueva entidad en la que presta servicios ahora, cartas ofertando los servicios de esta última. Aportan para acreditarlo, tanto una carta dirigida a una persona física, como correos electrónicos dirigidos a otra persona. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 De acuerdo con lo expuesto anteriormente, los servicios que prestan, tanto la entidad denunciante como la entidad en la que el denunciado presta ahora sus servicios, son los de Inspección y Certificación a ganaderos e industrias. Se trata por tanto, de servicios a empresas y ganaderos, que en el caso de personas físicas, entra dentro del supuesto previsto en el art. 2.3 del Real Decreto 1720/2007, el cual establece: “Los datos relativos a empresarios individuales, cuando hagan referencia a ellos en su calidad de comerciantes, industriales o navieros, también se entenderán excluidos del régimen de aplicación de la protección de datos de carácter personal.” Por su parte, en el caso de personas que vienen prestando servicios en entidades, es de aplicación el art. 2.2 del citado Real Decreto, según el cual “Este Reglamento no será aplicable a los tratamiento de datos referidos a personas jurídicas, ni a los ficheros que se limiten a incorporar los datos de las personas físicas que presten sus servicios en aquéllas, consistentes únicamente en su nombre y apellidos, las funciones o puestos desempeñados, así como la dirección postal o electrónica, teléfono o número de fax profesionales.” Por tanto, de acuerdo con lo expuesto, el tratamiento de los datos efectuados queda fuera del ámbito de la Ley Orgánica de Protección de Datos, por lo que procede archivar el procedimiento de apercibimiento. III Por último, con fecha 15 de noviembre de 2013 se recibe en esta Agencia escrito del representante de la entidad denunciante en el que comunica su interés en actuar como interesado en el procedimiento. Por tanto, vista su solicitud, de conformidad con lo dispuesto en el art. 31.1.
3. c)de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se tiene por interesado en este procedimiento a D. B.B.B., como administrador mancomunado de la entidad denunciante TRAZA & CONTROL IBERICA, S.L.L., quien podrá ejercer todos los derechos inherentes a esta condición. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR el expediente de Apercibimiento iniciado, a D. A.A.A. con relación a la denuncia por infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.
4. b)de la citada Ley Orgánica. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- NOTIFICAR el presente Acuerdo a D. A.A.A.. 3.- NOTIFICAR el presente Acuerdo a la entidad TRAZA & CONTROL IBERICA, S.L.L.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es