A-00230-2013

1/9 Procedimiento Nº: A/00230/2013 RESOLUCIÓN: R/00146/2014 En el procedimiento A/00230/2013, instruido por la Agencia Española de Protección de Datos a la entidad CLINICA LONDRES, S.L., vista la denuncia presentada por A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 17 de diciembre de 2012 se ha recibido en el registro de la Agencia Española de Protección de Datos escrito de D. A.A.A. y con fecha 10 de mayo de 2013 se recibe escrito de Subsanación y Mejora de solicitud. En ambos escritos se pone de manifiesto los siguientes hechos: CLINICA LONDRES, SL ha remitido cuatro burofax al denunciante informando de su despido: dos de ellos a su domicilio particular, un tercero a la dirección de su consulta privada y, con fecha 1 de agosto de 2012, se ha enviado al nuevo centro de trabajo de D. A.A.A.. El denunciante ha aportado copia de los cuatro burofax: dos de ellos remitidos al nombre del denunciante y a un domicilio particular en fecha 27/07/2012, otro de fecha 1/08/2012 también dirigido al denunciante y a un domicilio particular y el último de ellos, de fecha 1 de agosto de 2012 remitido a CORPORACION DERMOESTETICA sin especificar la persona a la cual va dirigido. En el escrito que se acompaña figura en el encabezamiento el apellido del denunciante. SEGUNDO: A la vista de los hechos denunciados, se realizaron por los Servicios de Inspección de esta Agencia actuaciones previas con objeto de determinar si el tratamiento de los datos personales que se realiza, cumple las condiciones que impone la citada normativa, teniendo conocimiento de las siguientes cuestiones Con fechas 30 de julio y 23 de septiembre de 2013 se ha solicitado información a la CLINICA LONDRES SL y de la respuesta recibida con fecha de registro de entrada a esta Agencia el 3 de octubre de 2013 se desprende: 1. CLINICA LONDRES SL manifiesta que dentro de un proceso de despido efectuado el 27 de julio de 2012, y ante la negativa del denunciante a firmar en ese momento determinada documentación relativa a dicho proceso, decidieron mandar un burofax a su domicilio personal y profesional donde tiene una consulta privada, ya que de acuerdo con lo establecido en el art. 53.1.

1. b)del Estatuto de los Trabajadores es obligatorio informar al empleado objeto de esta clase de despidos, que tiene a su disposición la indemnización correspondiente. CLINICA LONDRES SL manifiesta que el burofax que se envió a ambos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 domicilios el mismo día 27 de julio de 2012, fueron rechazados por el denunciante. A este respecto, CLINICA LONDRES, SL ha aportado copia de dos burofaxes remitidos al denunciante, en fecha 27 de julio de 2012 cuyo resultado ha sido “NO entregado, dejado aviso”. No obstante, figuran como entregados en fecha 16/08/2012. 2. CLINICA LONDRES SL manifiesta que al no haberse entregado los burofax en el domicilio particular y profesional del denunciante, decidieron mandar otro burofax en fecha 1 de agosto de 2012 a los mismos domicilios que los anteriores, y a la empresa donde trabajaba. Asimismo manifiesta que si el denunciante hubiera recogido cualquiera de los burofaxes dirigidos a su domicilio personal o profesional, no hubiera sido necesario mandar el burofax al domicilio de la empresa donde trabajaba. 3. CLINICA LONDRES SL manifiesta que en todo momento ha actuado de buena fe, en el sentido de que se ha limitado a informar de un derecho del trabajador, que además el Estatuto de los Trabajadores obliga al empleador a informar de ello, y que fue la actitud del propio empleado de no querer firmar este documento en el momento en que se efectuó el despido el 27 de julio, ni de recoger esta notificación en su domicilio personal ni particular el que obligó a enviarle el burofax a la dirección de la empresa donde trabajaba. 4. CLINICA LONDRES SL manifiesta que tienen implantado un protocolo de envío y recogida de documentación y correspondencia desde el año 2009, y aporta copia de “Procedimiento de remisión, recepción y reparto de comunicaciones oficiales y privadas” donde se especifica, entre otras, que se debe de “cumplimentar la persona particular a la que vaya dirigida y el domicilio que dicho titular haya puesto a efectos de notificaciones”. No obstante, manifiesta que en este caso concreto dicho protocolo no se aplicó de forma rigurosa por la persona que envió el burofax, a pesar de que dicha empleada conocía el mismo y había recibido formación en materia de protección de datos de carácter personal. De este modo el referido burofax fue enviado a la compañía donde trabajaba el empleado sin especificar el destinatario concreto, en contra de lo que establece el mencionado protocolo. TERCERO: Con fecha 18 de noviembre de 2013, el Director de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00230/2013. Dicho acuerdo fue notificado al denunciante y a la entidad denunciada. CUARTO: Con fecha 3 de diciembre de 2013 tiene entrada en esta Agencia escrito de D. A.A.A. mediante el que muestra su disconformidad ante la apertura de un apercibimiento. QUINTO: Con fecha 12 de diciembre de 2013 tiene entrada en esta Agencia escrito de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 la entidad denunciada, CLINICA LONDRES SL, mediante el que presenta alegaciones al acuerdo de audiencia previa al apercibimiento, y en el que manifiesta que tras el incidente con el denunciante, han procedido a recordar a todo el personal la obligatoriedad en el cumplimiento de la normativa de seguridad, que se encuentra en su intranet, así como los procedimientos internos que forman parte de esa normativa de seguridad. Manifiestan que, adicionalmente, han realizado una sesión formativa presencial, dirigida a los responsables de los centros y a todo el personal de los servicios centrales, adjuntando copia de las hojas asistenciales de parte del personal de haber recibido dicha formación por parte de la empresa. HECHOS PROBADOS PRIMERO: Con fecha 17 de diciembre de 2012 se ha recibido en el registro de la Agencia Española de Protección de Datos escrito de D. A.A.A. y con fecha 10 de mayo de 2013 se recibe escrito de Subsanación y Mejora de solicitud. En ambos escritos se pone de manifiesto los siguientes hechos: CLINICA LONDRES, SL ha remitido cuatro burofax al denunciante informando de su despido: dos de ellos a su domicilio particular, un tercero a la dirección de su consulta privada y, con fecha 1 de agosto de 2012, se ha enviado al nuevo centro de trabajo de D. A.A.A.. El denunciante ha aportado copia de los cuatro burofax: dos de ellos remitidos al nombre del denunciante y a un domicilio particular en fecha 27/07/2012, otro de fecha 1/08/2012 también dirigido al denunciante y a un domicilio particular y el último de ellos, de fecha 1 de agosto de 2012 remitido a CORPORACION DERMOESTETICA sin especificar la persona a la cual va dirigido. En el escrito que se acompaña figura en el encabezamiento el apellido del denunciante. SEGUNDO: Consta que la entidad CLINICA LONDRES SL envió dicho burofax a la entidad CORPORACION DERMOESTETICA, de acuerdo con lo establecido en el art. 53.1.
2. b)del Estatuto de los Trabajadores, según el cual es obligatorio informar al empleado objeto de esta clase de despidos, que tiene a su disposición la indemnización correspondiente, y el denunciante no recogía los burofax que se enviaron a su domicilio. TERCERO: Constan manifestaciones de CLINICA LONDRES SL según las cuales, señala que en todo momento ha actuado de buena fe, en el sentido de que se ha limitado a informar de un derecho del trabajador, que además el Estatuto de los Trabajadores obliga al empleador a informar de ello, y que fue la actitud del propio empleado de no querer firmar este documento en el momento en que se efectuó el despido el 27 de julio, ni de recoger esta notificación en su domicilio personal ni particular el que obligó a enviarle el burofax a la dirección de la empresa donde trabajaba. CUARTO: Consta en el expediente que CLINICA LONDRES SL manifiesta que tienen implantado un protocolo de envío y recogida de documentación y correspondencia desde el año 2009. Aporta copia de dicho protocolo denominado “Procedimiento de remisión, recepción y reparto de comunicaciones oficiales y privadas” donde se especifica, entre otras, que se debe de “cumplimentar la persona particular a la que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 vaya dirigida y el domicilio que dicho titular haya puesto a efectos de notificaciones”. QUINTO: Consta que CLINICA LONDRES SL, no obstante, manifiesta que en este caso concreto dicho protocolo no se aplicó de forma rigurosa por la persona que envió el burofax, a pesar de que dicha empleada conocía el mismo y había recibido formación en materia de protección de datos de carácter personal. De este modo el referido burofax fue enviado a la compañía donde trabajaba el empleado sin especificar el destinatario concreto, en contra de lo que establece el mencionado protocolo. SEXTO: Consta que en fecha 12 de diciembre de 2013 tiene entrada en esta Agencia escrito de alegaciones al acuerdo de audiencia al apercibimiento, en el que CLINICA LONDRES SL manifiesta que han procedido a recordar a todo el personal que tienen que cumplir con la normativa de seguridad de la compañía, han recordado y adjuntado los procedimientos internos que forman parte de esa normativa de seguridad, y han procedido a efectuar una sesión formativa presencial dirigida a los responsables de los centros, así como al personal de los servicios centrales en el que se ha insistido y recordado la normativa legal e interna en la materia, se ha explicado de nuevo la Guía Básica de Protección de Datos, se ha informado sobre los procedimientos de mayor relevancia. SEPTIMO: Consta, en dicho escrito, que CLINICA LONDRES SL según manifiesta, ya tenía implantada el protocolo de envió y recogida de documentación y correspondencia, pero en este caso no se aplicó de manera rigurosa por la persona que envió el burofax, a pesar de que conocía el protocolo. OCTAVO: CLINICA LONDRES SL manifiesta que nunca ha sido objeto de sanción por parte de la Agencia, adecuándose en todo momento a la normativa reguladora de protección de datos personales. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II El artículo 10 de la LOPD dispone que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así, el Tribunal Superior de Justicia de Madrid declaró en su sentencia de 19 de julio de 2001: “El deber de guardar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la Audiencia Nacional también ha señalado, entre otras, en sentencias de fechas 14 de septiembre de 2001 y 29 de septiembre de 2004 lo siguiente: “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un <<instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos>> (STC 292/2000). Derecho fundamental a la protección de los datos que <<persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino>> (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, <<es decir, el poder de resguardar su vida privada de una publicidad no querida>>. En el expediente que nos ocupa, D. A.A.A. denunciaba que CLINICA LONDRES SL le había remitido cuatro burofax informado de su despido, de los cuales dos de ellos fueron enviados a su domicilio particular, un tercero a la dirección de su consulta privada, y un cuarto remitido a CORPORACION DERMOESTETICA, pero sin especificar la persona a la que va dirigido. Tras tenerse conocimiento de estos hechos, por parte de la Subdirección General de Inspección se realizaron las correspondientes actuaciones de inspección, y como resultado, se tuvo conocimiento de que la entidad CLINICA LONDRES SL envió el burofax a CORPORACION DERMOESTETICA para poder informar al denunciante de su despido, en la medida en que no recogió los burofax que le habían enviado a su vivienda. Asimismo, manifiesta que desde el año 2009 tienen implantado un protocolo de envío y recogida de documentación y correspondencia donde se especifica, entre otras cosas, que se debe cumplimentar la persona a la que vaya dirigida, y el domicilio que dicho titular haya puesto a efectos de notificaciones. Como consecuencia de estos hechos, por parte del Director de esta Agencia se acordó la apertura de un procedimiento de apercibimiento, por una infracción del art. 10 LOPD, otorgándose a la entidad denunciada un plazo de quince días para presentar alegaciones. Por ello, con fecha 12 de diciembre de 2013, tiene entrada en esta Agencia escrito de la entidad CLINICA LONDRES SL, mediante el que viene a formular alegaciones al acuerdo de audiencia previa al apercibimiento, manifestando nuevamente que, tras la remisión del burofax que ha motivado la apertura de este procedimiento, han procedido a recordar a todo el personal que tienen que cumplir con la normativa de seguridad que se encuentra en la intranet, les han recordado y adjuntado por ese canal los procedimientos internos que forman parte de la normativa de seguridad, y han hecho una sesión formativa presencial dirigida a los responsables de los centros y al personal C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 de los servicios centrales recordando la normativa en esta cuestión Asimismo, manifiesta que en el momento de la infracción ya existía un protocolo de recogida y envío de documentación y correspondencia, pero no se aplicó de manera rigurosa. Por último, manifiestan que CLINICA LONDRES SL ha actuado de buena fe, porque únicamente querían informar al denunciante de un derecho del trabajador regulado en el Estatuto de los Trabajadores, y que nunca han sido objeto de sanción por parte de esta Agencia. Por tanto, en este caso concreto ha quedado acreditado que, con el envío de dicha documentación a la CORPORACION DERMOESTETICA, se ha producido una vulneración del deber de secreto, reconocido en el art. 10 de la LOPD. Por ello, procede apercibir a la entidad denunciada CLINICA LONDRES SL, pero no se van a requerir ningún tipo de medidas, puesto que, de la documentación aportada en sus alegaciones se pone de manifiesto que ha puesto en marcha una seria de actuaciones que tienen por objeto evitar estas situaciones. III La vulneración del deber de secreto aparece tipificada como infracción grave en el artículo 44.3.
4. d)de la LOPD. En este precepto se establece lo siguiente: “
5. d)La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En este caso, la entidad denunciada ha revelado datos personales de la denunciante por lo que debe considerarse que ha incumplido lo dispuesto en el art. 10 LOPD IV Por otra parte, con fecha 3 de diciembre de 2013, tiene entrada en esta Agencia escrito del denunciante, en el que muestra su disconformidad con la apertura de un apercibimiento a la entidad CLINICA LONDRES, por los hechos que denuncia. En dicho escrito, pone de manifiesto que ha existido mala fe de la entidad CLINICA LONDRES a la hora de comunicar el despido, en el hecho de que el día anterior al mismo hubiese estado realizando intervenciones, en la razón esgrimida para el despido, y en la comunicación por burofax a otra empresa del sector para la que trabaja ahora de su despido. Manifiesta que las manifestaciones de la clínica son falsas, puesto que el ya tenía conocimiento del despido, pues le hicieron entrega del mismo, que el denunciado rehusó para poder consultarlo con un abogado. Considera que el hecho de no recoger un burofax no es rechazado, simplemente es no entregado, considera que no hay buena fe en esta actuación, y manifiesta su disconformidad con el hecho de que se haya abierto un apercibimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 Señalar que el hecho de que se haya abierto un procedimiento de apercibimiento tiene su explicación en lo que dispone el art.45.6 de la LOPD en su redacción dada por la disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011). Dicho artículo establece “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
6. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
7. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En este caso, dado que concurrían los elementos necesarios para que no se acordara la apertura de un procedimiento sancionador a la entidad responsable, en la medida en que los hechos eran constitutivos de una infracción grave, y al infractor no se le había sancionado con anterioridad, se acordó por parte del Director de esta Agencia, no acordar la apertura de un procedimiento sancionador y si otorgar audiencia previa al apercibimiento. El resto de las cuestiones planteadas no encuentran su tipificación en la LOPD. VI La disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) ha añadido un nuevo apartado 6 al artículo 45 de la Ley 15/1999 de Protección de Datos en lugar del existente hasta su promulgación del siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
8. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
9. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
10. a)y
11. b)del citado apartado 6. Junto a ello se constata una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no consta vinculación relevante de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constan beneficios obtenidos como consecuencia de la comisión de la infracción. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00230/2013) a la entidad CLINICA LONDRES, S.L. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
12. d)de la citada Ley Orgánica. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- NOTIFICAR el presente Acuerdo a la entidad CLINICA LONDRES, S.L.. 3.- NOTIFICAR el presente Acuerdo a D. A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es