1/9 Procedimiento Nº A5/00001/2014 RESOLUCIÓN: R/01264/2014 PROCEDIMIENTO DEL ARTÍCULO 5.5 DE LA LOPD Con fecha 5/02/2014 tuvo entrada una solicitud del FONDO DE REESTRUCTURACIÓN ORDENADA BANCARIA. (en lo sucesivo FROB) en la que insta la tramitación del procedimiento de exención del deber de información a titulares de los datos personales en aplicación del artículo 5.5 de la Ley Orgánica 15/1999, de 13/12, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD) en concordancia con los artículos 153 a 156 del Real Decreto 1720/2007, de 21/12, por el que se aprueba el Reglamento de desarrollo de la LOPD (en lo sucesivo RLOPD), en base a los siguientes: ANTECEDENTES PRIMERO: El FROB es una entidad de Derecho Público con personalidad jurídica propia y plena capacidad pública y privada para el desarrollo de sus fines. Su régimen jurídico se contiene en la Ley 9/2012 de 14/11 de reestructuración y resolución de entidades de crédito. El FROB se crea mediante el Real Decreto Ley 9/2009 en el que se establecieron con carácter preventivo las bases para posibles reorganizaciones y reestructuraciones de entidades de crédito (Bancos, Cajas y Cooperativas de Crédito) especialmente las de mediano tamaño que pudieran ver comprometida su viabilidad futura. La petición reza: “Solicitud de alternativa a la aplicación del derecho de información conforme al artículo 5.5 de la LOPD” y finaliza solicitando “que sean estudiadas las alegaciones expuestas de cara a determinar la procedencia de la aplicación de la excepción al deber de información a los afectados así como la idoneidad de la alternativa expuesta para cumplir con dicho deber por parte del FROB, y en su caso recibir las recomendaciones que la Agencia tenga a bien aportar. SEGUNDO: Según la solicitud, una de las funciones encomendadas es la gestión de la Tesorería, invirtiendo esta en activos líquidos y de poco riesgo, habiéndose creado un Área que opera en los mercados financieros-deuda pública, depósitos, disponiendo de capacidad para contratar directamente con los emisores de productos financieros. “Como en cualquier mesa de Tesorería, las operaciones que se realizan telefónicamente son grabadas con el fin de tener un soporte que respalde la operación ante posibles discrepancias.” La Circular 3/1993 de la CNMV de 29/12 sobre registro de operaciones y archivo de justificantes de órdenes BOE 21/01/2004 establece en su norma 2 la obligatoriedad de conservar las cintas de grabaciones de órdenes telefónicas. Se incorpora al procedimiento la obtenida de la web ARANZADI. La Circular se aplica a las Sociedades C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 y Agencias de Valores a que se refiere el Título V de la Ley 24/1988 de 28/07 del Mercado de Valores en relación con las ordenes ejecutadas por cuenta propia o recibidas de terceros relativas a actividades de intermediación, anotación y depósito sobre cualesquiera valores, bien negociados en algún mercado organizado oficial o no situado en España. Se precisa el ámbito que forma el archivo de justificantes de órdenes en el que se integra la cinta de grabación cuando las órdenes sean por teléfono. También se indica que estos registros de operaciones generan ficheros y el contenido de los mismos. “El FROB utiliza el teléfono para operar en el mercado y formalizar dichas operaciones. Las llamadas se graban y se conservan en un disco duro. El hecho de realizar grabaciones de las conversaciones telefónicas que se realizan en salas de mercados con las finalidades de contratación de productos financieros es algo habitual y conocido en el sector, por lo que en principio los participantes son conocedores del procedimiento, realizándose grabaciones de esas llamadas en ambos extremos de la comunicación. Se opera con múltiples Agentes “de los que resulta muy costoso recabar los datos identificativos”. En caso de entidades financieras de gran tamaño, las salas de Tesorería están compuestas por un gran número de operadores y que incluso es normal que exista una gran rotación dentro de la entidad, es decir que un operador de la mesa de corto plazo pase a la de largo o viceversa, lo cual contribuye a dificultar aún más esa recogida de información identificativa de cada uno de los operadores que cotizan operaciones en cada momento. En el contexto de las operaciones de Tesorería, además, las llamadas telefónicas deben ser de breve duración, ya que por un lado se limitan a reiterar lo acordado por otros medios, correos electrónicos principalmente, y por otro lado, los importes de la operación se definen en el momento de la llamada, por lo que es necesario que estas sean lo más agiles posible. En este contexto, cualquier conversación adicional, por ejemplo la reproducción de una locución que contemple los extremos del artículo 5 LOPD referidos al deber de información podría afectar al buen desarrollo de la operación. “ Por otro lado, todos los correos electrónicos emitidos por cualquier usuario del FRB disponen de una información sobre protección de datos que indica: “Advertencia de privacidad: los datos de carácter personal que se faciliten por correo electrónico, quedarán registrados en ficheros titularidad del FROB para los fines propios de la entidad y obtener, en su caso, datos estadísticos. Por tanto, los derechos de acceso, rectificación, cancelación y oposición pueden ejercitarse ante el Director General del FROB, Avda. General Perón, 38, 28020 Madrid. frob@frob.es” “Antes de formalizar telefónicamente una operación se han realizado comunicaciones previas con los Agentes por correo electrónico, pudiéndose afirmar que ciertamente los afectados por la grabación de las llamadas telefónicas han recibido información previa respecto de la LOPD.” Solicita sean analizadas las anteriores circunstancias de cara a determinar la procedencia de la aplicación de la excepción al deber de informar a los afectados así como la idoneidad de la alternativa expuesta para cumplir con dicho deber por parte del FROB a través de su advertencia de privacidad incluidos en los correos electrónicos y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 en su caso recibir las recomendaciones que la Agencia tenga a bien aportar. TERCERO: Con fecha 6/03/2014 se consulta la aplicación que gestiona la inscripción de ficheros para comprobar que ficheros tiene inscritos la solicitante. Se aprecia que existe el denominado “GRABACION DE LLAMADAS” de “titularidad privada” y con la finalidad de la grabación de llamadas telefónicas para operaciones de Tesorería con el fin de dar cumplimiento a las directrices de la CNMV, que se imprime y se incorpora al expediente. CUARTO: De la información recabada se deduce que los contactos se mantienen siempre con empleados de entidades, sean Bancos, Cajas etc., como encargados de gestionar la operativa. Es a estos a los que se refieren los datos personales de la petición. Las operaciones se ejecutan por cuenta y a título del mismo FROB, no de terceras personas. QUINTO: Con fecha 23/05/2014 el FROB añade: “.. Confirmamos que, en relación con la grabación de llamadas que se realizan en el ámbito de las operaciones de Tesorería del FROB, las conversaciones que se graban contienen exclusivamente confirmación del acuerdo de compra o venta que, previamente, se ha realizado por otros medios (otras conversaciones telefónicas, que no se graban, y correos electrónicos, principalmente). Se trata de grabaciones que se realizan por ambas partes, como medio de comprobación en el caso de que surgieran discrepancias posteriores sobre la operación realizada, y siempre en el marco de esas operaciones. En ningún caso en esas conversaciones se recopila ni se comunica información de carácter personal, ya que las operaciones las lleva a cabo el FROB siempre por cuenta del FROB y el interlocutor del FROB es siempre una persona de contacto de la entidad con la que se está negociando.” FUNDAMENTOS DE DERECHO I De conformidad con el artículo 36.1 de la LOPD, y el 155 en relación con el 115 del Real Decreto 1720/2007, de 21/12, por el que se aprueba el reglamento de desarrollo de la ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal, la competencia para dictar resolución concediendo o denegando la exención del deber de informar corresponde al Director de la Agencia Española de Protección de Datos. II En cuanto al ámbito de aplicación de la Circular 3/1993 de la CNMV “Registro de operaciones y archivo de justificantes de órdenes.”, el preámbulo de la circular se indica que obedece a la creación de unas reglas mínimas para mantener el archivo de justificantes de órdenes que es el soporte físico de las órdenes recibidas de los clientes generándose unos ficheros. Su artículo 1 prevé el ámbito personal de aplicación, a Sociedades y Agencias de Valores en relación con las órdenes ejecutadas por cuenta propia o recibidas de terceros relativas a actividades de intermediación, anotación y deposito, y prevé en su artículo 2 que las personas, entidades o establecimientos a que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 se refiere la norma primera deberán mantener un archivo de justificantes de las órdenes recibidas que estaría formado por:
- a)Ejemplar original de la orden firmada por el cliente cuando se realice por escrito.
- b)Cinta de grabación cuando la orden sea realizada por teléfono.
- c)El registro magnético correspondiente en el caso de transmisión electrónica. Adicionalmente establece el 2.2 y el 2.4 “2. Aquellas entidades dispuestas a aceptar órdenes recibidas por vía telefónica no escrita deberán establecer los medios necesarios para la identificación de sus ordenantes, así como disponer de cintas para la grabación de dichas órdenes, siendo necesario advertir previamente al ordenante de dicha grabación. No obstante, bastará que dicha advertencia se incluya en el contrato que, en su caso, regule los términos en que puedan ser efectuadas dichas órdenes telefónicas. 4. En las órdenes recibidas de viva voz o por vía telefónica no escrita será necesaria la confirmación escrita de la orden por parte del ordenante u otra persona habilitada de forma fehaciente por éste, siendo admisible la utilización de cualquier medio escrito, tal como télex, fax u otros similares”. En el desarrollo de la petición se analizará el siguiente orden:
- a)Análisis de si en la conversación telefónica entre empleados del FROB y la entidad financiera, resultaría aplicable la LOPD.
- b)En el supuesto de que resultara aplicable la LOPD, posible cobertura de la obligación de informar mediante los sistemas en vigor.
- c)En su ausencia, modalidades que puede emplear el FROB para informar durante la grabación de datos. III La LOPD tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar. Según la LOPD, el concepto de dato personal, comprende según el artículo 3
- a)“cualquier información concerniente a persona física identificada o identificable”, entendemos que se requiere la concurrencia de un doble elemento: por una parte la existencia de una información o dato y de otra, que dicho dato pueda vincularse a una persona física identificada o identificable. El Real Decreto Real Decreto 1720/2007, de 21/12, por el que se aprueba el reglamento de desarrollo de la LOPD, (RLOPD) en su artículo 5.1
- f)precisa: “Datos de carácter personal: Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables.”, y en
- o)“ Persona identificable: toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados.” El artículo 2 del Real Decreto Real Decreto 1720/2007, de 21/12, por el que se aprueba el reglamento de desarrollo de la LOPD, (RLOPD) establece el ámbito objetico de aplicación, y concreta en su punto 2 lo siguiente: “Este Reglamento no será aplicable a los tratamientos de datos referidos a personas jurídicas, ni a los ficheros que se limiten a incorporar los datos de las personas físicas que presten sus servicios en aquéllas, consistentes únicamente en su nombre y apellidos, las funciones o puestos desempeñados, así como la dirección postal o electrónica, teléfono y número de fax profesionales. La Agencia ha venido manteniendo que siempre que dicho tratamiento se limite a los datos de los afectados en su mera condición de cargos, administradores o representantes de una empresa cabría considerar, que no sería aplicable la LOPD. De este modo, cualquier tratamiento que contenga datos adicionales a los citados se encontrará plenamente sometido a la LOPD, por exceder de lo meramente imprescindible para identificar al sujeto en cuanto contacto de quien realiza el tratamiento con otra empresa o persona jurídica. Las exclusiones del ámbito de aplicación de la LOPD han de ser interpretadas restrictivamente y de modo justificado. En este caso no se limitan a incorporar los datos mínimos que señala el Reglamento, sino que se proporcionan telefónicamente, siendo la voz un dato de carácter personal adicional que sobrepasa el sentido del Reglamento. En el supuesto que aquí se analiza, actuando el FROB con fondos propios y a propio título en la Gestión de Tesorería, sin perjuicio del cumplimiento de la Circular 3/1993, a efectos de protección de datos, la grabación de la voz de los interlocutores excede de los límites de exención del artículo 2.2 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD), precisando por tanto cumplir con la obligación de informar de su recogida y tratamiento al cumplirse la premisa de inclusión en ficheros derivados de la grabación. IV El artículo 5.1 de la LOPD señala: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
- c)y
- d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban. 4. Cuando los datos de carácter personal no hayan sido recabados del interesado, éste deberá ser informado de forma expresa, precisa e inequívoca, por el responsable del fichero o su representante, dentro de los tres meses siguientes al momento del registro de los datos, salvo que ya hubiera sido informado con anterioridad, del contenido del tratamiento, de la procedencia de los datos, así como de lo previsto en las letras a),
- d)y
- e)del apartado 1 del presente artículo. 5. No será de aplicación lo dispuesto en el apartado anterior, cuando expresamente una ley lo prevea, cuando el tratamiento tenga fines históricos, estadísticos o científicos, o cuando la información al interesado resulte imposible o exija esfuerzos desproporcionados, a criterio de la Agencia de Protección de Datos o de organismo autonómico equivalente, en consideración al número de interesados, a la antigüedad de los datos y a las posibles medidas compensatorias. Asimismo, tampoco regirá lo dispuesto en el apartado anterior cuando los datos procedan de fuentes accesibles al público y se destinen a la actividad de publicidad o prospección comercial, en cuyo caso, en cada comunicación que se dirija al interesado se le informará del origen de los datos y de la identidad del responsable del tratamiento así como de los derechos que le asisten.” El citado artículo 5 de la LOPD se constituye en la premisa informativa precisa y necesaria para el ejercicio de los derechos por parte del afectado. Para ello se debe informar al titular de los datos de modo concreto, expreso e inequívoco de la existencia del fichero o tratamiento, así como de su finalidad y de los destinatarios de la información (cesiones), de la identidad del responsable, del carácter obligatorio o voluntario de las preguntas que les sean formuladas, de las consecuencias de la negativa a suministrar los datos, y de los derechos que reconoce la LOPD al titular de los datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 El sentido de la leyenda informativa que se contiene en todos los correos electrónicos del FROB se refiere a los datos que se recaban por tal medio, siendo diferentes a los tratados en las conversaciones telefónicas, en que se registra la voz de los interlocutores. También su finalidad es diferente. La finalidad de registrar las operaciones es que en el momento en que se concrete la cuantía e intervinientes de la operación, se registre esa conversación, pudiendo ser, la/s persona/s con la que se mantuvieron los correos previos, diferente/s a la persona con la que se concreta la operación. Por tanto, no se estima que la información contenida en los correos otorgue cobertura necesaria para realizar la grabación de voz. V Del artículo 5.5 de la LOPD recoge que procede la exención del deber de informar: “cuando la información al interesado resulte imposible o exija esfuerzos desproporcionados, a criterio de la Agencia de Protección de Datos o de organismo autonómico equivalente, en consideración al número de interesados, a la antigüedad de los datos y a las posibles medidas compensatorias”. Con independencia de la aplicabilidad a las actuaciones de Tesorería del FROB de la Circular 3/1993 de la CNMV ésta requiere en el apartado 2.2 la advertencia previa de la grabación al ordenante. Por otra parte, la operación grabada cabe deducir que surte efectos también respecto al Agente afectado. Desde el punto de vista de la legislación vigente en materia de protección de datos de carácter personal y en lo que se refiere a los Agentes, la Agencia Española de Protección de Datos ha emitido varios informes relativos a los llamados call centers extrapolables al supuesto que nos ocupa, tales como los informes jurídicos nº 190/2009 y 509/2009, en los que han merecido su aprobación, así como en resoluciones como la de archivo de actuaciones dictada en fecha 19 de noviembre de 2008 en el expediente E/01171/2007. En esos documentos se establece que: - No se necesita contar con el consentimiento del trabajador para realizar la grabación, por cuanto, de acuerdo con el artículo 6.2 de la LOPD no se necesita ese consentimiento cuando el tratamiento de los datos de carácter personal se refiera a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento y cumplimiento. - Aunque la grabación por parte de la empresa a la que se presta el servicio sea formalmente una cesión de datos, artículo 11 LOPD, el apartado segundo de dicho precepto exime de la necesidad de contar con el consentimiento del interesado por cuanto responde a la necesidad de poder desarrollar y dar debido cumplimiento y control de la relación entablada. Ahora bien, lo que resulta inexcusable es la obligación de la empresa de informar a los trabajadores y a sus representantes sindicales de la intención de la implantación de esta medida de control, de su funcionamiento y de sus finalidades y alcance. Dicha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 información debe darse teniendo en cuenta lo contemplado en el artículo 5 de la LOPD y lo previsto en el Estatuto de los Trabajadores para la implantación de medidas de control (artículo 20 y 64-1). Respecto a la manera de formalizar el deber de información se ha manifestado la Sentencia del Tribunal Supremo de 15 de Julio de 2010: “La Ley reconoce en el artículo 5 el derecho a la información en la recogida de datos, concreta el contenido de la información, y advierte de que el deber de informar ha de ser previo a la recogida, pero salvo la indicación de que la información ha de ser expresa, precisa e inequívoca, ninguna referencia contiene a la forma, abriendo así múltiples posibilidades (escrita, verbal, telemática, etc.) Solo en el apartado 2 del artículo de mención prevé la posibilidad de que se utilicen cuestionarios u otros impresos para la recogida de datos para advertir, pensando sin duda en medios estandarizados, que se han de contener y de forma claramente legible las advertencias expresadas en el apartado 1. En consecuencia, debe considerarse que el legislador ha optado por la libertad de forma.” En tal sentido resultarían adecuadas:
- a)Locución breve en la llamadas en que resulte aplicable que informe del momento en que la conversación va a comenzar a ser grabada y del momento en que finaliza. Potestativamente se puede exponer que la información ampliada puede encontrarse en la web del FROB. Adicionalmente, establecimiento en la web de una clausula informativa en la que se recoja la sede del ejercicio de los derechos y el resto de elementos del artículo 5.1 de la LOPD relevantes en la grabación.
- b)Información documental a los trabajadores en plantilla y a los que se contrate en el futuro del sistema de grabación de llamadas a incorporar en el contrato de trabajo o como documento anejo al mismo, en la forma establecida en el artículo 5.1 de la LOPD.
- c)Complementaria, pero no en sustitución, se podrá incluir en los correos electrónicos, una clausula informativa especifica diferente de la genérica para que los empleados que gestionen telefónicamente las operaciones relacionadas con Tesorería y sus interlocutores, conozcan el destino de los datos cuando se formalicen telefónicamente. En el caso de que tales medidas resulten imposibles o exijan esfuerzos desproporcionados deberá realizarse la correspondiente acreditación en un nuevo expediente de exención del deber de información. PRIMERO: DENEGAR al FONDO DE REESTRUCTURACIÓN ORDENADA BANCARIA la aplicación de lo dispuesto en el artículo 5.5 de la LOPD en las condiciones señaladas en la presente resolución. SEGUNDO: NOTIFICAR la presente resolución al FONDO DE REESTRUCTURACIÓN C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 ORDENADA BANCARIA. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, y del 116 del RLOPD, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del RLOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es