A-00408-2017

1/5 Procedimiento Nº: A/00408/2017 RESOLUCIÓN: R/03528/2017 En el procedimiento A/00408/2017, instruido por la Agencia Española de Protección de Datos a la entidad AT LEAST, S.A., vista la denuncia presentada por Doña B.B.B., y en virtud de los siguientes ANTECEDENTES PRIMERO: Con fecha 22 de mayo de 2017 tiene entrada en esta Agencia una denuncia presentada por Doña B.B.B., en la que manifiesta lo siguiente: <<Presto servicios para la empresa AT LEAST, S.A. con ***NIF.1, con dirección en la ***DIRECCIÓN.1, mediante relación laboral a jornada parcial con un contrato eventual por circunstancias de la producción, con antigüedad del 22.03.2017 con categoría profesional de dependienta especialista. El pasado día 30 de marzo del 2017 caigo enferma con una rinitis alérgica de causa no especificada que me causa una baja de incapacidad temporal a efectos de ese mismo día, le escribo a mi encargada, A.A.A., ya que esta se encontraba en el Reino Unido de viaje, y me dice que le mande con una foto vía whatsapp el informe del médico y la baja por IT para ella poder mandarlo a recursos humanos, y así fue que se lo mandé por whatsapp de forma privada. Al recibir esta las fotos de los justificantes, automáticamente mando los mismos sin autorización alguna por mi parte, a un grupo de whatsapp donde se encuentran todas las trabajadoras de la tienda, yo incluida, algo que es totalmente ilegal divulgar información de otras personas sin su consentimiento, figurando todos mis datos personales al igual que los del médico que me atendió en urgencias y el médico de cabecera que me dio el parte de baja. Este acto de difundir mis documentos personales por el grupo de whatsapp lo ha repetido varias veces, primero mandó mi justificante del médico del hospital Clínico de Valencia cuando fui de urgencias, posteriormente mandó mi parte de baja y por último mi parte de alta. Estos actos por parte de mi encargada, A.A.A., me parecen totalmente fuera de lugar y sus acciones totalmente ilegales, ya que se ve vulnerado mi derecho fundamental a la intimidad además del derecho fundamental a la intimidad del doctor que me ha atendido en urgencias y mi médico de cabecera que firmó mis papeles de los partes de baja y de alta. A esta denuncia adjunto imágenes donde se muestra que A.A.A. mi encargada, difundió en un grupo de whatsapp todos mis partes médicos y justificante de urgencias, los cuales le mandé a ella de manera privada con tal de justificar mi ausencia a mi puesto de trabajo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 Por eso mismo interpongo esta denuncia con todas las copias y documentos que se acompañan.>> Aporta fotografías del Grupo de whatsapp, copia del parte de baja y del reenvío por parte de C.C.C. de dicho parte indicando: “Chicas por favor le podéis mandar esto a *** q yo no puedo, es urgente” SEGUNDO: Consultada la aplicación de la AEPD que gestiona la consulta de antecedentes de sanciones y apercibimientos precedentes, al denunciado no le constan registros previos. TERCERO: Con fecha 22 de noviembre de 2017, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00408/

1. Dicho acuerdo fue notificado al denunciado. CUARTO: Con fecha 18 de diciembre de 2017, se recibe en esta Agencia escrito de At Least, S.A., en el que alega que la entidad no dota de líneas telefónicas propias ni dispositivos móviles a su personal laboral, a excepción de determinadas personas de alta dirección, y no ha ordenado la creación de un grupo de whastapp entre sus empleados. De ello se desprende que han sido un grupo de personas que, de forma particular, han decidido crear un grupo de whatsapp. La empresa no accede de ninguna manera a los dispositivos móviles personales de sus empleados. Parece tratarse de un tratamiento de datos doméstico o personal. La Sra. B.B.B. suscribió un contrato de un mes con la compañía. Por su parte, Doña A.A.A. trabajó más de un año en la empresa y presentó su carta de baja voluntaria. En todos los contratos de trabajo y anexos al mismo, se establecen las obligaciones de confidencialidad y secreto de los datos que conozcan en el desempeño de su puesto de trabajo. Asimismo, disponen de protocolo de actuación y procedimientos para el personal de las tiendas. Aunque el personal conoce la forma de actuar ante una incapacidad laboral, se ha enviado una Circular recordatoria a las tiendas en la que se recuerda que no se debe facilitar la información, remitida a Recursos Humanos y al encargado de la tienda, a terceros. HECHOS PROBADOS PRIMERO: Doña A.A.A., encargada de una tienda de Intropia creó un grupo de whatsapp con las cinco trabajadoras de la misma. SEGUNDO: Doña B.B.B. envió fotos de su parte de baja a la encargada de su tienda, Doña A.A.A. a su whatsapp privado. TERCERO: Doña A.A.A. mando los partes de baja al grupo de whatsapp donde se encuentran todas las trabajadoras de la tienda, figurando todos los datos personales de la denunciante al igual que los del médico que me atendió en urgencias y el médico de cabecera que me dio el parte de baja. A las imágenes le acompañaba el texto: “Chicas por favor mandar esto a *** q yo no puedo, es urgente” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 CUARTO: La entidad At Least, S.A., no ha creado el grupo de whatsapp ni ha autorizado su creación. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo
2. g) en relación con el artículo 36 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento y ha de entenderse que el mismo tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales se realicen comunicaciones de los datos no consentidas por los titulares de los mismos. Este deber de secreto comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido, teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática, a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30/11, y, por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. En el presente caso, la denunciante ha formado parte de un grupo de whatsapp creado por la encargada de la tienda en la que trabaja y las cinco empleadas de la misma. El grupo de whatsapp se ha formado por voluntad de las integrantes (que en cualquier momento pueden dejar de pertenecer al mismo) y sin atender a ninguna obligación de la entidad empleadora. La entidad faculta a los empleados que se encuentren de baja a enviar ellos mismos las copias correspondientes a la empresa por valija interna al Departamentos de Recursos Humanos a facilitando los documentos a la encargada de la tienda que lo remitirá por correo electrónico a ***EMAIL.
3. En la Circular sobre actuación en caso de incapacidad temporal se indica que si se muestra a terceros esta información confidencial, puede conllevar la imposición de sanciones disciplinarias, suspensión de empleo y sueldo e incluso despido para el empleado responsable. III El artículo 43 de la LOPD establece lo siguiente: “
4. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” At Least, S.A., es la empresa responsable de los ficheros de empleados de la tienda en la que trabajaba la denunciante y su encargada. Por ello, si la vulneración del deber de guardar secreto sobre los datos de baja de la denunciante fuera responsabilidad de dicha entidad, la Agencia Española de Protección de Datos declararía el incumplimiento del artículo 10 de la LOPD. Pero al tratarse de la actuación concreta y puntual de una persona empleada de una tienda, no se halla sujeta al régimen sancionador de la LOPD, si bien responde ante su empleador con sanciones que pueden llegar hasta el despido. En consecuencia, At Least, S.A., no es responsable de la actuación llevada a cabo por la encargada de la tienda en la que trabajaba la denunciante. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR (A/00408/2017) el apercibimiento tramitado a la entidad At Least, S.A., al no ser responsable de la infracción a lo establecido en el artículo 10 de la LOPD. 2.- NOTIFICAR el presente Acuerdo a AT LEAST, S.A., y a Doña B.B.B.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es