1/7 Procedimiento Nº: A/00414/2017 RESOLUCIÓN: R/00204/2018 En el procedimiento A/00414/2017, instruido por la Agencia Española de Protección de Datos a la entidad LESMA AVIATION, S.L., vista la denuncia presentada por Don A.A.A. y en virtud de los siguientes, HECHOS PRIMERO: Con fecha 25 de marzo de 2017 tiene entrada en esta Agencia una denuncia presentada por Don A.A.A. (en lo sucesivo, el denunciante), en la que manifiesta lo siguiente: Con fecha 7 de marzo de 2017, la empresa LESMA AVIATION, S.L., envía a la plantilla de trabajadores un correo electrónico donde les comunica que en día y fecha determinados deberán subir a la oficina de Recursos Humanos para la realización de un curso de reciclaje. En el citado correo se informa a los trabajadores de que en la citada oficina se dispondrá de un ordenador para la realización del curso, con las claves de acceso al mismo. Al llegar a la oficina comprobaron que la empresa había creado cuentas en distintos servidores de correo (Gmail, Hotmail y ONO) utilizando el nombre y apellidos de los trabajadores, todo ello sin autorización de los mismos. Además, el listado con todas las direcciones de correo y las contraseñas se puso a la vista de todos los trabajadores, a excepción de las cuentas de los trabajadores supervisores, que fueron creadas en cuentas de dominio exclusivo de la empresa ***DOMINIO.1) y sin que aparecieran sus claves de acceso. Entre otra, el denunciante anexa la siguiente documentación: Copia del citado listado. Copia del correo electrónico remitido a los trabajadores para comunicarles el curso de reciclaje. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados (Informe E/03032/2017), teniendo conocimiento de los siguientes extremos: 1. Con fecha 19 de septiembre de 2017 se recibe escrito de la entidad LESMA AVIATION, S.L., en el que se pone de manifiesto que: a. Las personas que constan en el listado remitido a esta Agencia por el denunciante fueron convocadas a un curso de refresco que debía hacerse on-line. b. A tal efecto, se elaboran listas de trabajadores del aeropuerto para informar a los Jefes de Sección con respecto a los trabajadores a su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 cargo para que, a su vez, comunicasen a cada correspondiente trabajador la fecha y hora en la que debían realizar el curso. c. Igualmente, para que los trabajadores pudieran realizar el curso online, desde el Departamento de RRHH de la empresa se crearon cuentas de correo genéricas con las correspondientes contraseñas en los siguientes dominios: ***C.CORREO.1 ***C.CORREO.2 Es decir, acompañando al nombre de los trabajadores el apelativo “lesma”. d. Para la creación de las citadas cuentas de correo se utilizaron nombre y apellidos de los trabajadores y fecha de nacimiento. e. El citado listado fue entregado a los jefes de servicio para su comunicación a los trabajadores que debían realizar el curso y se desconoce cómo los trabajadores han tenido acceso al listado. f. Finalmente, el curso no se realizó. TERCERO: Consultada el 16 de noviembre de 2017 la aplicación de la AEPD que gestiona la consulta de antecedentes de sanciones y apercibimientos precedentes, a la entidad denunciada LESMA AVIATION, S.L., no le constan registros previos. CUARTO: Con fecha 22 de noviembre de 2017, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00414/2017. Dicho acuerdo fue notificado al denunciado. QUINTO: Habiendo transcurrido el plazo de audiencia de quince días hábiles sin que la entidad denunciada haya formulado alegaciones o presentado pruebas que considerarse convenientes, se procede a dictar resolución. HECHOS PROBADOS PRIMERO: La empresa LESMA AVIATION, S.L., creó cuentas en distintos servidores de correo electrónico (Gmail, Hotmail y ONO) utilizando el nombre, apellidos y año de nacimiento de los trabajadores, con el propósito de realizar un curso online de reciclaje, todo ello sin autorización de los mismos. Dichas cuentas tenían la estructura “***ESTRUCTURA.1”, es decir, se añadía (...) de los trabajadores el apelativo “lesma”. Cada cuenta tenía asociada su correspondiente contraseña. SEGUNDO: Las cuentas de los trabajadores supervisores fueron creadas en cuentas de dominio exclusivo de la empresa ***DOMINIO.1). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante, LOPD). II El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el apartado
- a)del artículo 3 de la citada Ley Orgánica, como “Cualquier información concerniente a personas físicas identificadas o identificables”, añadiendo el apartado 1.
- f)del artículo 5 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD), que dato de carácter personal es “cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables”. La definición de persona identificable aparece en la letra
- o)del citado artículo 5.1 del RLOPD, que considera como tal “toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados”. En este mismo sentido se pronuncia el artículo 2.
- a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, según el cual, a efectos de dicha Directiva, se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Asimismo, el Considerando 26 de esta Directiva se refiere a esta cuestión señalando que, para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona para identificar a aquélla. Por tanto, los datos de nombre, apellidos y año de nacimiento de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 trabajadores, que fueron tratados por la entidad denunciada en el supuesto que nos ocupa, tienen la consideración de datos de carácter personal y entran por ello en el ámbito de aplicación de la LOPD. III La LOPD regula en su artículo 4 el principio de calidad de datos que resulta aplicable al supuesto de hecho que se analiza. Este artículo debe interpretarse de forma conjunta y sistemática. El artículo 4.2 de la LOPD señala lo siguiente: “Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos”. El “principio de calidad”, que prohíbe utilizar datos de carácter personal para una finalidad incompatible o distinta de aquella para la que los mismos fueron recabados, se recoge en el Título II de la LOPD, como uno de los principios básicos de la protección de datos. Las “finalidades” a las que se refiere el transcrito apartado 2, están ligadas con el “principio de pertinencia” o limitación en la recogida de datos regulado en el artículo 4.1 de la misma Ley. Conforme a dicho precepto, los datos sólo podrán tratarse cuando “sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” En consecuencia, si el tratamiento del dato ha de ser “pertinente” al fin perseguido y la finalidad ha de estar “determinada”, difícilmente se puede encontrar un uso del dato para una finalidad “distinta” sin incurrir en la prohibición del artículo 4.2 aunque emplee el término “incompatible”. A esta conclusión parece llegar también el propio Tribunal Constitucional cuando en su Sentencia 292/2000, de 30 de noviembre, establece: “el derecho a consentir la recogida y tratamiento de los datos personales no implica en modo alguno consentir la cesión de tales datos a terceros...Y, por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aun cuando puedan ser compatibles con éstos supone una nueva posesión y uso que requiere el consentimiento del interesado.” La Audiencia Nacional, en su Sentencia de fecha 15/06/05, considera que el artículo 4 de la LOPD establece una sutil distinción entre finalidad de la recogida y finalidad del tratamiento, “pues la recogida sólo puede hacerse con fines determinados, explícitos y legítimos, y el tratamiento posterior no puede hacerse de manera incompatible con dichos fines. Así pues, y de acuerdo con el artículo 1.
- b)de la Directiva 95/46/CE de 24 de octubre de 1995 (en cuya redacción se inspira el repetido artículo 4.2 de nuestra LOPD), si la recogida se hizo con fines determinados, cualquier uso o tratamiento posterior con finalidad distinta es incompatible con la primera finalidad que determinó la captura por lo que, en este contexto, diferente o incompatible significan lo mismo.” En definitiva, los datos no pueden ser tratados para fines distintos a los que motivaron su recogida, pues esto supondría un nuevo uso que requiere el consentimiento del interesado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 En el caso concreto que nos ocupa, el fin que motivó la recogida de los datos personales fue la gestión de la relación laboral entre la empresa denunciada y sus trabajadores. En este sentido, la creación por la empresa de cuentas de correo electrónico utilizando el nombre, apellidos y año de nacimiento de los empleados para la realización de un curso de formación supone la utilización de sus datos de carácter personal para una finalidad distinta de aquélla para la que fueron recabados. IV El artículo 44.3.
- c)de la LOPD califica como infracción grave: “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. De acuerdo con los fundamentos anteriores, entendemos que por parte LESMA AVIATION, S.L., se han tratado datos de carácter personal vulnerando el principio de calidad establecido en el artículo 4 de la LOPD, lo que procede calificar como infracción grave. V La disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) ha añadido un nuevo apartado 6 al artículo 45 de la Ley 15/1999 de Protección de Datos en lugar del existente hasta su promulgación del siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
- a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
- b)que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
- a)y
- b)del citado apartado 6 del art. 45 LOPD. Junto a ello se constata una cualificada disminución de la culpabilidad del denunciado por la concurrencia de varios criterios de los enunciados en el artículo 45.4 de la LOPD. Concretamente, el carácter puntual de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 infracción, el hecho de que la entidad denunciada no tenga como actividad principal el tratamiento de datos, su volumen de negocio y la ausencia de beneficios derivados de la comisión de la infracción. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00414/2017) a LESMA AVIATION, S.L., con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 4.2 de la LOPD, tipificada como grave en el artículo 44.3.
- c)de la citada Ley Orgánica. 2.- REQUERIR a LESMA AVIATION, S.L., de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999 para que en el plazo de un mes desde este acto de notificación: 2.1.- CUMPLA lo previsto en el artículo 4.2 de la LOPD. En concreto, se insta a la entidad denunciada a cancelar las cuentas de correo electrónico creadas utilizando los nombres y apellidos de sus trabajadores. 2.2.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando aquellos documentos en los que se ponga de manifiesto el cumplimiento de lo requerido en el apartado anterior. Se le advierte que en caso de no atender el citado requerimiento, podría incurrir en infracción tipificada en el artículo 44 de la LOPD y sancionable de acuerdo con lo dispuesto en el artículo 45 de la citada Ley Orgánica. 3.- NOTIFICAR el presente Acuerdo a LESMA AVIATION, S.L. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo ContenciosoC/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es