A-00243-2013

1/8 Procedimiento Nº: A/00243/2013 RESOLUCIÓN: R/00255/2014 En el procedimiento A/00243/2013, instruido por la Agencia Española de Protección de Datos a la entidad PRIMAVERA EN CORDOBA S.L, vista la denuncia presentada por D. B.B.B. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 2 de octubre de 2012 tiene entrada en esta Agencia escrito de D. B.B.B. (en adelante el denunciante) en el que declara que la entidad PRIMAVERA EN CORDOBA S.L (en adelante el denunciado) dispone de varios ficheros con los datos personales de sus empleados (aproximadamente 60 empleados) a los que acceden varias personas sin las medidas de protección de datos, y no están inscritos en la Agencia Española de Protección de Datos. Concretamente el denunciante manifiesta la existencia de un fichero de nominas y personal, ficheros de huellas digitales, ficheros de colaboradores, curriculum vitae, cámaras de video vigilancia y fotografías para las acreditaciones. Aporta fotografías de las cámaras de videovigilancia y manifiesta que no existen carteles informativos debajo de las cámaras donde se indique que es zona de vigilancia grabada. SEGUNDO: A la vista de los hechos denunciados, se realizaron por los Servicios de Inspección de esta Agencia actuaciones previas con objeto de determinar si el tratamiento de los datos personales que se realiza, cumple las condiciones que impone la citada normativa, teniendo conocimiento de las siguientes cuestiones: Con fecha 11 de septiembre 2013 se realiza inspección al denunciado en las dependencias ubicadas en Avda. Pirineos número 9 de San Sebastián de los Reyes (Madrid) poniéndose de manifiesto:  El objeto de la entidad PRIMAVERA EN CÓRDOBA SL es la producción de programas de televisión para emitir por vía TDT y satélite.  En la actualidad PRIMAVERA EN CÓRDOBA SL dispone de un total de 52 trabajadores en su plantilla de empleados. A los datos de los trabajadores acceden el Director de la empresa y la Directora de Recursos Humanos. Las nóminas y los documentos de fiscalidad laboral se elaboran por una gestoría que acaba de ser sustituida, la anterior gestoría era la entidad IURISCONSULT ABOGADOS y en la actualidad la gestoría que gestionará el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 tratamiento de los datos a partir del próximo día 18 de septiembre de 2013 será la entidad PROSITEL COMUNICACIONES S.L., la cual a su vez tiene un contrato de prestación de servicios con EMJL ASESORIA INTEGRAL S.L. que es la empresa que realizará, a partir del 18 de septiembre de 2013 todas las gestiones en materia fiscal y laboral.  El inspeccionado en el momento de la inspección aporta, entre otros documentos, el Documento de propuesta de servicios profesionales de IURISCONSULT ABOGADOS. Se requiere al inspeccionado para que aporte a esta Agencia en el plazo de cinco días hábiles la siguiente documentación, entre otros documentos los contratos suscritos con las Gestorías para la elaboración de nóminas de los trabajadores y documentos fiscales. • Con fecha 10 de septiembre en diligencia adjunta al expediente de referencia E/07995/2012 con D. A.A.A. de la entidad IURIS CONSULT informa por vía telefónica al inspector que suscribe que ya no presta servicios a la entidad PRIMAVERA EN CÓRDOBA SL y que no obstante informará al denunciado acerca de lo requerido por esta Agencia en el referido expediente. • Con fecha 12 de septiembre el denunciado remite a esta Agencia la siguiente documentación: Propuesta de servicios profesionales por parte de IURIS CONSULT ABOGADOS a PRIMAVERA EN CÓRDOBA SL y manifiestan que no ha sido posible localizar el contrato, aportan copia de la comunicación enviada a IURIS CONSULT ABOGADOS en la que se comunica a dicha entidad la rescisión de los servicios contratados. Contrato de arrendamiento de servicios con PROSITEL COMUNICACIONES SL por los servicios de gestoría fiscal y laboral, incluyendo la asistencia diaria de un profesional en las instalaciones de PRIMAVERA EN CÓRDOBA SL, a su vez PROSITEL COMUNICACIONES SL tiene contrato de prestación con EMJL ASESORÍA INTEGRAL SL que es la empresa que se encargará desde el 18 de septiembre de todas las gestiones en materia fiscal y laboral. Captura de pantalla del fichero de NÓMINAS PERSONAL Y RR.HH. En diligencia adjunta al expediente de referencia E/07995/2012 se constata por el inspector actuante la existencia de los siguientes ficheros inscritos en el Registro de esta Agencia cuyo responsable es el denunciado: - VIDEOVIGILANCIA - CLIENTES Y/O PROVEEDORES - NÓMINAS PERSONAL Y RRHH C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 TERCERO: Con fecha 25 de noviembre de 2013 se declaró la CADUCIDAD de las actuaciones previas de investigación señaladas con el número E/07995/2012 y ORDENAR el inicio de una nueva fase de investigación para el esclarecimiento de los hechos denunciados en el marco del E/07074/2013 CUARTO: Con fecha 20 de diciembre de 2013, el Director de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00243/2013. Dicho acuerdo fue notificado al denunciante y al denunciado. QUINTO: Con fecha 21 de enero de 2014 se recibe en esta Agencia escrito de la entidad denunciada en el que comunica “En la fecha de la presente, PRIMAVERA EN CORDOBA, S.L. hace entrega en el registro de la AEPD, de la documentación requerida por escrito de fecha 27/12/2013 y recibido el 7/1/2014, en relación al expediente nº A/00243/2013”. Aporta junto a dicho escrito el documento de seguridad de PRIMAVERA EN CORDOBA, S.L., con el responsable de ficheros que incluyen datos de carácter personal con los niveles de seguridad que se definen en este documento; un contrato de confidencialidad con trabajadores externos firmado entre PROSITEL COMUNICACIONES S.L. y PRIMAVERA EN CORDOBA, S.L., y el trabajador; y un contrato de acceso a datos por cuenta de terceros entre PRIMAVERA EN CORDOBA, S.L. Y EMJL ASESORÍA INTEGRAL, S.L. HECHOS PROBADOS PRIMERO: Consta que, en fecha 2 de octubre de 2012 tiene entrada en esta Agencia escrito de D. B.B.B. (en adelante el denunciante) en el que declara que la entidad PRIMAVERA EN CORDOBA S.L (en adelante el denunciado) dispone de varios ficheros con los datos personales de sus empleados (aproximadamente 60 empleados) a los que acceden varias personas sin las medidas de protección de datos, y no están inscritos en la Agencia Española de Protección de Datos. Concretamente el denunciante manifiesta la existencia de un fichero de nóminas y personal, ficheros de huellas digitales, ficheros de colaboradores, curriculum vitae, cámaras de video vigilancia y fotografías para las acreditaciones. Aporta fotografías de las cámaras de videovigilancia y manifiesta que no existen carteles informativos debajo de las cámaras donde se indique que es zona de vigilancia grabada. SEGUNDO: Consta que todas las cuestiones relativas a la VIDEOVIGILANCIA en las instalaciones fue resuelto en el E/07995/2012 mediante resolución de 30 de septiembre de 2013. TERCERO: Consta que, en fecha 25 de noviembre de 2013 se declaró la CADUCIDAD de las actuaciones previas de investigación señaladas con el número E/07995/2012 y ORDENAR el inicio de una nueva fase de investigación para el esclarecimiento de los hechos denunciados en el marco del E/07074/2013 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 CUARTO: Consta que la entidad PRIMAVERA EN CORDOBA S.L, tenía contratado con la entidad IURISCONSULTIN, entre otras cuestiones, la elaboración de las nóminas del personal de la entidad, hasta la fecha 18/09/2013, fecha en la que le comunican su intención de rescindir la relación contractual. QUINTO: Consta que la entidad PRIMAVERA EN CORDOBA, ha contratado con la entidad PROSITEL COMUNICACIONES S.L., las funciones de gestoría, y a su vez se habría contratado con la entidad EMJL ASESORÍA INTEGRAL, S.L. la realización de las nóminas de la entidad PRIMAVERA EN CORDOBA, S.L. SEXTO: Con fecha 19 de enero de 2014 tienen entrada en esta Agencia escrito de la entidad PRIMAVERA EN CORDOBA S.L., mediante el que viene a presentar alegaciones al acuerdo de audiencia previa al apercibimiento de fecha 20 de diciembre de 2013, y por el que presenta el documento de seguridad de la entidad denunciada; un contrato de confidencialidad con trabajadores externos firmado entre la entidad PRIMAVERA EN CORDOBA, S.L., PROSITEL COMUNICACIONES S.L., y el trabajador, así como el contrato de acceso a datos por cuenta de terceros, entre la entidad PRIMAVERA EN CORDOBA, S.L., y EMJL ASESORÍA INTEGRAL, S.L. SEPTIMO: No consta en el expediente contrato de acceso a datos por cuenta de terceros con la entidad IURISCONSULT ABOGADOS, encargada de las funciones de gestoría, entre las que se incluirían la realización de nóminas, con la entidad PRIMAVERA EN CORDOBA, S.L., hasta el 18 de septiembre de 2013 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II El artículo 12.1, 2 y 3 de la LOPD, en relación al “acceso a datos por cuenta de terceros”, establece que: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto de tratamiento”. El citado artículo 12.1 de la LOPD permite que el responsable del fichero habilite el acceso a datos de carácter personal por parte de la entidad que va a prestarle un servicio –encargado del tratamiento- sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión de datos. La LOPD exige que el acceso a datos por cuenta de terceros figure reflejado en un contrato por escrito o en alguna otra forma que permita acreditar su celebración y contenido, y prevé unos contenidos mínimos, tales como seguir las instrucciones del responsable del tratamiento, no utilizar los datos para un fin distinto, no comunicarlos a otras personas, estipular las medidas de seguridad del artículo 9 y, cumplida la prestación, destruir los datos o proceder a su devolución, al responsable del tratamiento. En este sentido, la Audiencia Nacional en su Sentencia de 19/11/2003 ha declarado que <<para tener la condición legal de encargado del tratamiento, al que por cierto le es de aplicación el régimen sancionador que establece la Ley Orgánica 15/1999, según dispone el artículo 43.1 de la expresada Ley, es necesario cumplir una serie de exigencias necesarias, que operan a modo de garantías, establecidas en el artículo 12 de la Ley Orgánica 15/1999. Así es, cuando el tratamiento se realice por cuenta de un tercero debe constar “por escrito o en alguna otra forma que permita acreditar su celebración y contenido”, por lo que no basta con acreditar que existe una relación jurídica entre el responsable del fichero y el encargado del tratamiento, sino que ésta ha de constar por escrito o por otra forma que permita acreditar su “celebración y contenido”. En este sentido, la propia Ley prevé un contenido mínimo del contrato entre las partes en el que deben constar una serie de estipulaciones necesarias, a saber, seguir las instrucciones del responsable del tratamiento, no utilizar los datos para un fin distinto, no comunicarlos a otras personas (artículo 12.2 párrafo primero), estipular las medidas de seguridad del artículo 9 (artículo 12.2 párrafo segundo) y cumplida la prestación destruir los datos o proceder a su devolución al responsable del tratamiento (artículo 12.3). Pues bien en el caso examinado, la repetición de una práctica reiterada mensualmente en la impresión de nóminas pudiera, en el mejor de los casos, acreditar una relación contractual, pero no de la naturaleza y características que establece el artículo 12, pues no acredita el contenido de la relación, ni expresamente contiene la advertencia de que el encargado del tratamiento “únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con un fin distinto al que figure en dicho contrato, ni los comunicará (...) a otras personas”, párrafo segundo del citado precepto>>. En el caso que nos ocupa, ha quedado acreditado que la entidad PRIMAVERA EN CORDOBA, S.L., tenía contratado con la entidad IURIS CONSULT ABOGADOS, la realización de las funciones de gestoría, entre las que se incluye la realización de nóminas, función que finalizó a instancias de la primera en fecha 18 de septiembre de 2013. De acuerdo con la normativa señalada con anterioridad, para la realización de este tipo de actuaciones es necesaria la realización de un contrato de prestación de servicios, con el contenido que recoge el art. 12 LOPD, y que en este caso concreto no se ha producido. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 Por otro lado, desde fecha 19 de septiembre de 2013 se entiende que la realización de las nóminas se realiza con la entidad EMJL ASESORIA INTEGRAL, S.L. Por ello, tras recibirse el acuerdo de audiencia previa al apercibimiento por parte de la entidad denunciada PRIMAVERA EN CORDOBA, S.L., ésta ha procedido a presentar un contrato de acceso a datos por cuenta de terceros con dicha entidad, que daría cumplimiento a lo dispuesto en el art. 12 LOPD, y por tanto, con relación a esta cuestión no se aprecia infracción del art. 12. Por tanto, en este caso en el que ha quedado acreditado que la entidad PRIMAVERA EN CORDOBA, S.L., tenía contratado con la entidad IURIS CONSULT ABOGADOS la realización de las funciones de asesoría, y entre ellas la realización de las nóminas, sin que existiera la realización de un contrato en el que se contengan las previsiones del art. 12 LOPD, procede apercibir a la entidad PRIMAVERA EN CORDOBA, S.L. No obstante, en la medida en que ya ha finalizado la relación que ambas entidades mantenían, y la entidad PRIMAVERA EN CORDOBA, S.L., ha presentado dicha documentación en relación con la entidad que ahora mismo le presta dichos servicios, no se va a requerir ningún tipo de medida. III El artículo 44.2.
2. d)de la LOPD considera infracción leve: “la transmisión de datos a un encargado del tratamiento sin dar cumplimiento a los deberes formales establecidos en el artículo 12 de esta Ley.” De acuerdo con lo expuesto anteriormente, la entidad denunciada ha incurrido en la infracción descrita, por cuanto tenía contratado la realización de unos funciones con una tercera entidad, sin que conste la existencia de un contrato suscrito con ésta que recoja las garantías del acceso a datos por parte de terceros que exige el artículo 12 de la LOPD. IV La disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) ha añadido un nuevo apartado 6 al artículo 45 de la Ley 15/1999 de Protección de Datos en lugar del existente hasta su promulgación del siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
3. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
4. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
5. a)y
6. b)del citado apartado 6. Junto a ello se constata una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no consta vinculación relevante de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constan beneficios obtenidos como consecuencia de la comisión de la infracción. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00243/2013) a la entidad PRIMAVERA EN CORDOBA S.L con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 12 de la LOPD, tipificada como leve en el artículo 44.2.
7. d)de la citada Ley Orgánica. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- NOTIFICAR el presente Acuerdo a la entidad PRIMAVERA EN CORDOBA S.L. 3.- NOTIFICAR el presente Acuerdo a D. B.B.B. . C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es