1/7 Procedimiento Nº: A/00290/2017 RESOLUCIÓN: R/02954/2017 En el procedimiento A/00290/2017, instruido por la Agencia Española de Protección de Datos a la entidad ACCEPTA SERVICIOS INTEGRALES, S.L., vista la denuncia presentada por Doña B.B.B., y en virtud de los siguientes ANTECEDENTES PRIMERO: Con fecha 9 de mayo de 2017, tiene entrada en esta Agencia un escrito remitido por Doña B.B.B., en la que manifiesta lo siguiente: “El 19 de abril, 4 compañeras y yo comenzamos un proceso formativo en Accepta servicios integrales, S.L para incorporarnos a trabajar en ella como teleoperadoras vendiendo seguros de Santa Lucía el día 3 de mayo (esa sería la fecha de alta). El primer día firmamos un consentimiento a realizar el curso, entiendo que desde ese momento, la empresa tiene obligación de proteger nuestros datos personales pues ya estamos vinculadas con ella. Ese mismo día, nos piden que enviemos un informe de vida laboral, nuestro número de la SS, y el número de cuenta o IBAN donde percibiríamos la nómina. El pasado lunes día 24 de abril, a otra compañera y a mí, nos comunicaron que desde ese día ya no formábamos parte del proceso selectivo, pues nuestro perfil no les encajaba, en ese momento firmamos un documento en el cual constaba que nos habían comunicado y aceptábamos lo que nos estaban diciendo. Mi sorpresa llegó el martes día 25 de abril por la mañana, cuando recibí un email en mi cuenta de correo personal, cuyo remitente era la persona que me hizo la entrevista de trabajo, que ocupa el puesto de técnico de selección en la empresa (a saber: ***EMAIL.1. Ese mail, estaba destinado a todos los puestos superiores de la empresa (reconocí direcciones de correo de personas que nos presentaron en el cursillo) y supongo que a los administrativos de la empresa. En el mail se adjuntaba en una tabla excel TODOS los datos de las personas que serían dadas de alta el día 3, entre ellos los datos de mis dos compañeras que siguen con el cursillo. En esa tabla, que yo no debería haber recibido nunca, aparecen: nombre, apellidos, DNI, número SS, localidad de alta, provincia, centro de trabajo, fecha de alta, estudios, horario de trabajo, dirección de sus hogares, teléfono móvil, y email de un total de 28 personas. A mi entender, la persona que envió este email a mi correo electrónico, no ha cumplido con la exigencia que toda empresa tiene de proteger los datos de sus trabajadores, lo cual me parece que es cuanto menos sancionable, o que se debería C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 comunicar a estas personas lo que está ocurriendo con sus datos. De esto que denuncio, poseo prueba, el email que me mandó, y el archivo excel, cuyos metadatos verificarán desde qué IP se creó el archivo. Además de esto, en el cursillo nos informaron que deberíamos llevar una agenda y un cuaderno en los cuales iríamos apuntando los datos de todos los clientes que tratáramos, por si había que volver a trabajar o hablar con ellos, y que esa agenda debíamos llevarla siempre con nosotras, llevarla a casa y volver a traerla cada día. Creo que esa práctica tampoco es legal, no me parece de recibo que los datos personales de los clientes de la empresa puedan estar bailando día sí, día también en un cuaderno, sin ningún tipo de protección, a merced de que puedan perderse o caer en malas manos. De esto último no puedo aportar prueba pues no llegué a tener que hacerlo, pero insto a la AGDP que inicie una investigación con la que pueda averiguar si lo que sigo es cierto. Aporta copia del correo electrónico recibido, denominado “Tabla 4 altas laborales 3-5- 2017 ZONA NORTE y copia de la tabla Excell con datos de 28 personas conteniendo: nombre y apellidos, DNI, número de afiliación Seguridad Social, localidad, provincia, fecha de nacimiento, centro de trabajo, fecha de alta, estudios, horario, domicilio, códigos de trabajo y mail. SEGUNDO: Consultada la aplicación de la AEPD que gestiona la consulta de antecedentes de sanciones y apercibimientos precedentes, al denunciado la entidad ACCEPTA SERVICIOS INTEGRALES, S.L., no le constan registros previos. TERCERO: Con fecha 11 de septiembre de 2017, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00290/2017. Dicho acuerdo fue notificado al denunciado. CUARTO: Con fecha 8 de octubre de 2017, se recibe en esta Agencia escrito del representante del denunciado en el que comunica que en la selección de personal que realizan solicitan consentimiento a los candidatos para el tratamiento de sus datos. Los destinatarios del correo objeto de denuncia forman parte del equipo de selección de candidatos, que pueden conocer los datos de los candidatos ya que han prestado el consentimiento para ello. Al verificar lo que había sucedido, se ha enviado un correo electrónico a todos los candidatos destinatarios de la información del resto de los candidatos solicitándoles que eliminaran el correo y que no lo conservasen ni reenviasen. Asimismo se ha enviado un correo a los responsables de selección de nuevos candidatos recordándoles el compromiso de ACCEPTA con la confidencialidad de la información y que extremen la diligencia en el envío de correos electrónicos con múltiples destinatarios. Acompañan copia de los correos remitidos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 HECHOS PROBADOS PRIMERO: Doña B.B.B. comenzó un proceso formativo en Accepta Servicios Integrales, S.L., para incorporarse a trabajar como teleoperadora. SEGUNDO: Doña B.B.B. firmó un consentimiento a realizar el curso. Al iniciar el curso Accepta les pidió un informe de vida laboral, el número de la SS, y el número de cuenta o IBAN donde percibiríamos la nómina. TERCERO: El día 24 de abril, ACCEPTA le comunicó que desde ese día ya no formaba parte del proceso selectivo, pues el perfil no les encajaba. En ese momento firmó un documento en el cual constaba la comunicación y aceptación. CUARTO: Al día siguiente por la mañana, Doña B.B.B. recibió un email en su cuenta de correo personal, cuyo remitente era la persona que le hizo la entrevista de trabajo, que ocupa el puesto de técnico de selección en la empresa ***EMAIL.1. Ese mail, estaba destinado a todos los puestos superiores de la empresa y a los administrativos de la empresa. En el mail se adjuntaba en una tabla excel TODOS los datos de las personas que serían dadas de alta el día 3 de mayo. En esa tabla, denominada “Tabla 4 altas laborales 3-5- 2017 ZONA NORTE, se incluían: nombre, apellidos, DNI, número SS, localidad de alta, provincia, centro de trabajo, fecha de alta, estudios, horario de trabajo, dirección de sus hogares, teléfono móvil, y email de un total de 28 personas. QUINTO: Accepta Servicios Integrales, S.L., ha enviado 18 correos electrónicos a 18 personas indicándoles que si han recibido el correo objeto de denuncia lo deben eliminar. SEXTO: Accepta Servicios Integrales, S.L., ha enviado un correo electrónico al equipo de recursos humanos instándoles a una mayor diligencia en el cumplimiento de la normativa de protección de datos; en especial los correos electrónicos con múltiples destinatarios . FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El presente procedimiento tiene por objeto determinar las responsabilidades que se derivan de la revelación de los datos que resulta de la divulgación del nombre, apellidos, DNI, número SS, localidad de alta, provincia, centro de trabajo, fecha de alta, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 estudios, horario de trabajo, dirección de sus hogares, teléfono móvil, y email de un total de 28 personas; a través de un correo electrónico que la entidad ACCEPTA remitió a una persona que había iniciado un curso de formación y no lo había completado. El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Este deber de secreto comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido, teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática, a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30/11, y, por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. Igualmente, cabe destacar varias Sentencias dictadas por la Audiencia Nacional, que en sus Fundamentos de Derecho señalan: “Pues bien, la conducta que configura el ilícito administrativo requiere la existencia de culpa, que se concreta, por lo que ahora interesa, en el simple incumplimiento del deber de guardar secreto, deber que se transgrede cuando se facilita información a terceros de los datos que sobre el titular de una cuenta bancaria dispone la entidad recurrente, siendo indiferente a estos efectos que los datos se facilitaran mediante engaño, pues la entidad bancaria no observó una conducta diligente tendente a salvaguardar el expresado deber de secreto, y esta conducta basta para consumar la infracción cuya sanción se recurre en el presente recurso. En consecuencia, esa falta de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 diligencia configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente. En definitiva, concurren los requisitos exigibles para que la conducta sea culpable, pues la conducta desarrollada vulnera el deber de guardar secreto, es una conducta tipificada como infracción administrativa, y la voluntariedad reviste forma de culpa”. En el presente caso, la entidad Accepta Servicios Integrales, S.L., con el envío de numerosos datos personales referidos a 28 personas a la denunciante, permitió el acceso por parte de un tercero a datos personales relativos a 28 personas, según el detalle que conste en los hechos probados, cuestión que ha quedado acreditada en el presente procedimiento. Por tanto, queda acreditado que por parte de Accepta Servicios Integrales, S.L., responsable de la custodia de los datos en cuestión, se vulneró el deber de secreto, garantizado en el artículo 10 de la LOPD, al haber posibilitado el acceso no restringido por terceros a datos personales. Este incumplimiento aparece tipificado como infracción grave en el artículo 44.3.
- d)de dicha norma, que califica como tal “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de esta Ley”. III El artículo 45.6 de la LOPD, introducido a través de la reforma operada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, dispone: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
- a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
- b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” Trasladando las consideraciones expuestas al supuesto que nos ocupa, se observa que la infracción de la LOPD de la que se responsabiliza al denunciado es una infracción “grave”; que el denunciado no ha sido sancionado o apercibido por este organismo en ninguna ocasión anterior; y que concurren de manera significativa varias de las circunstancias descritas en el artículo 45.5 de la LOPD. Todo ello, unido a la naturaleza de los hechos que nos ocupan, justifica que la AEPD no acuerde la apertura C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 de un procedimiento sancionador y que opte por aplicar el artículo 45.6 de la LOPD. Ahora bien, es obligado hacer mención a la Sentencia de la Audiencia Nacional de 29/11/2013, (Rec. 455/2011), Fundamento de Derecho Sexto, que sobre el apercibimiento regulado en el artículo 45.6 de la LOPD y a propósito de su naturaleza jurídica advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella y cuyo objeto es la imposición de medidas correctoras, la SAN citada concluye que cuando éstas ya hubieran sido adoptadas, lo procedente en Derecho es acordar el archivo de las actuaciones. Como se ha señalado, en el asunto que examinamos, Accepta Servicios Integrales, S.L., ha remitido a todos los destinatarios de la tabla excell con datos de 28 personas un correo solicitando su inmediata eliminación; asimismo, ha recordado a la unidad de Recursos Humanos la especial diligencia en el cumplimiento de la normativa de protección de datos y la obligación de cautela en los correos que se envían a múltiples destinatarios. A la vista del pronunciamiento recogido en la SAN de 29/11/2013 (Rec. 455/2011) referente a los supuestos en los que la denunciada ha adoptado las medidas correctoras oportunas, de acuerdo con lo señalado se debe proceder al archivo de las actuaciones. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR el procedimiento A/00290/2017 seguido contra la entidad ACCEPTA SERVICIOS INTEGRALES, S.L., con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por la infracción del artículo 10 de la LOPD. 2.- NOTIFICAR el presente Acuerdo al representante legal de ACCEPTA SERVICIOS INTEGRALES, S.L. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es