1/13 Procedimiento Nº AP/00001/2017 RESOLUCIÓN: R/02451/2017 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00001/2017, instruido por la Agencia Española de Protección de Datos a la entidad AYUNTAMIENTO DE A CORUÑA, vista la denuncia presentada por A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 18/10/2016 se recibe denuncia de Dña. A.A.A. (en lo sucesivo la denunciante) que representa a la ....... Manifiesta que con ocasión de la licitación del contrato de mantenimiento de Colegios de Educación Infantil y Primaria, Centros de Educación Especial y Centros de Educación y Promoción de Adultos del Concello de A Coruña, en la página web del denunciado, en el perfil del contratante se han dado a conocer datos de carácter personal sin consentimiento ni habilitación por la Ley Orgánica de Protección de Datos. Indica que se halla en el link de libre acceso: “***EMAIL.1” De la copia que aporta, se desprende que se trata de la relación nominal (TC-2) de B.B.B. de la empresa MAGA LIMPIEZAS S.L, 15 folios, con el logo de la Tesorería General de la Seguridad Social, que contiene el importe liquidado por las cuotas a la Tesorería de enero 2016, presentado el 8/02/2016, y los datos siguientes: -Número de afiliación -Identificador de persona física, (I.P.F.) que acaba en letra, pudiendo ser el NIF. El número se antecede de los dígitos 10 o 60 y a continuación X que podría ser el número de identificación de extranjero. -C.A.F. (nombre y apellidos abreviados, con 5 letras). -Días y horas cotizadas y bases de cotización. Aporta también: 1) Copia de escrito del Ayuntamiento de A Coruña, de fecha 8/03/2016, que se dirige a MAGA LIMPIEZAS, S.L., solicitando, para la licitación de los servicios mencionados, el envío de información sobre sus empleados. En la solicitud requiere identificación de trabajadores por medio de SEIS LETRAS, las dos primeras con el nombre y el resto dos de cada apellido. También se piden datos como base de cotización, jornada, pluses, categoría, salario base o antigüedad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 2) Copia de un listado “D.D.D.”- no son C.C.C.-, con el sello de MAGA en el que se identifican los empleados con SEIS LETRAS, su categoría, la fecha de antigüedad, salarios base, antigüedad, base de cotización, jornada semanal y dependencia (Colegio o centro). SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se accede, en fecha 24 de noviembre de 2016, a la web de la denunciada, en el apartado Sede electrónica, licitación; se encuentra el anuncio de la licitación, expediente ***EXP.1, y se indica que el plazo de proposiciones finaliza el 12/07/2016. Se pueden ver las empresas presentadas y admitidas, y además se incluyen varios ficheros a los que se puede acceder, tales como RESOLUCION DE ADJUDICACION cuya fecha publicación en sede electrónica 14/10/2016, así como a los pliegos, anexos etc. Se obtiene copia de las 15 hojas referentes a la relación nominal de B.B.B., con el logo de la Tesorería General de la Seguridad Social con los datos ya referidos. Estos documentos figuran en el archivo llamado: “Anexo personal TC.pdf” publicado en sede electrónica en fecha 7/06/2016. TERCERO: Con fecha 16/03/2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de las Administraciones Públicas al AYUNTAMIENTO DE A CORUÑA por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de dicha norma. CUARTO: Con fecha 11/04/2017 la denunciada solicitó copia del expediente, que se le remitió. Transcurrido un tiempo, se aprecia que aunque el envío fue admitido en correos, figura como no entregado, con la anotación de Correos de “extraviado”. Ante la posible pérdida del envío, se remitió copia nuevamente, en fecha 19/07/2017. QUINTO: Con fechas 19/07 y 14/08/2017 se accede por el Instructor a la página web de la denunciada con el fin de verificar si el contenido referido en relación con el procedimiento de licitación y los datos personales continúan expuestos. En “sede electrónica” “perfil del contratante” se hace una búsqueda por el número de expediente de contratación ***EXP.1, obteniendo el resultado del contrato de “servicio de limpieza de los centros de educación infantil”, correspondiéndose al objeto de la denuncia. Entre la diversa documentación que figura se puede ver: - Resolución de adjudicación- Accediendo se imprime el escrito de la resolución del contrato, que figura firmada el 23/08/2016. La fecha que aparece como publicado es de 16/10/2016, y se adjudicó a ITMA SL. - En el apartado, ANEXOS-ANEXO PERSONAL se pincha y se constata que figura una relación de D.D.D. con el sello de la empresa MAGA. El listado contiene ordenados por nombre y apellidos, en iniciales (seis letras), la categoría, antigüedad, salario base, plus asistencia, plus transporte, antigüedad, base de cotización anual, jornada semanal y dependencia en la que presta servicio. No resultaría difícil ni improbable que al menos entre los compañeros de las personas que presten servicio en el mismo Centro, se pueda identificar la persona de que se trata, pese a las iniciales. Al listado, antecede la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 hoja del AYUNTAMIENTO DE A CORUÑA que le pide la información a la empresa MAGA. El anexo personal con el listado de empleados y la hoja de petición de datos a MAGA también fueron aportados por la denunciante en su denuncia, folios 21 a 24. -En el apartado ANEXOS-ANEXO PERSONAL TC, continúa expuesta la relación nominal de trabajadores de la TGSS que coincide también con lo aportado por la denunciante. Ello pese a haberse iniciado el presente procedimiento y que el procedimiento de licitación ha sido resuelto hace tiempo (23/09/2016, publicado el 14/10/2016.). Se observa que en dicha relación de la TGSS figuran algunos trabajadores cuyos datos están subrayados en amarillo fosforescente y se incorpora la totalidad de los 15 folios. -Se imprime una hoja del apartado de cláusulas administrativas en la que figura “Información sobre personal”. Reproduciendo su cláusula 9: En los casos en que proceda, y a efectos de facilitar la subrogación del personal contratado cuando ello fuera obligatorio para el siguiente adjudicatario, con seis meses de antelación a la fecha de finalización del contrato, el contratista deberá presentar los siguientes documentos:
- a)Certificación en la que deberán constar los trabajadores que prestan el servicio, naturaleza de los contratos de trabajo, salario bruto y neto, jornada laboral, antigüedad, lugar/es o centro/s donde viene desarrollando la prestación, categoría profesional y circunstancias específicas referidas a cada trabajador, si las hubiere. En dicha certificación deberá constar, asimismo, el/los convenio/s que el contratista está aplicando a los trabajadores, con referencia a su publicación en el boletín oficial; en caso de que se viniera aplicando un convenio específico, deberá aportarse, además, copia del mismo.
- b)Copia de las nóminas de los tres últimos meses o período inferior, según procediere.
- c)Copia de los TC-1 y TC-2, de cotización a la Seguridad Social, de los últimos tres meses o período inferior, si procediera, con acreditación de su pago.
- d)Copia de los contratos de trabajo.
- e)Copia de los acuerdos o pactos de empresa que tengan los trabajadores afectados como condición más beneficiosa.
- f)Cualquier otro documento que proceda o se requiera a estos efectos.” -Se imprimen las prescripciones técnicas del contrato. En las mismas figura un listado en formato excel que contiene los D.D.D. con el mismo contenido que el que figura en ANEXO PERSONAL. -Se imprime de la web la consulta sobre que compone la clave: I.PF. en el boletín de cotización imprimiendo parte de un documento pdf titulado “instrucciones para la cumplimentación de los documentos de cotización a la Seguridad Social”, indicándose que el I.P.F. es el indicador de persona física que puede ser el NIF, que iría precedido por el código 1, mientras que el N.I.E. (número de identificación de extranjeros) lo precede el 6. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 SEXTO: Con fecha 3/08/2017 se reciben alegaciones de la denunciada que manifiesta:
- a)Se exponen los datos personales como anexos en las clausulas técnicas y administrativas por cumplimiento de la Ley 19/2013 de Transparencia, acceso a la información pública y buen Gobierno, dispuesto en el apartado 3 del artículo 31 del pliego de cláusulas administrativas que regula el procedimiento de adjudicación de contratas.
- b)La empresa, MAGA, cedió los datos al Ayuntamiento, presumiendo el consentimiento de los datos personales de los interesados.
- c)Los datos expuestos no permiten identificar a su titular. Las seis letras correspondientes a sus dos primeras del nombre y de cada uno de los apellidos no permite identificar a los afectados. SÉPTIMO: Con fecha 16/08/2017 se eleva propuesta de resolución del literal: “PRIMERO: DECLARAR que el AYUNTAMIENTO DE A CORUÑA, ha infringido lo dispuesto en el artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de dicha norma. SEGUNDO: Requerir al AYUNTAMIENTO DE A CORUÑA, para que adopte las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 6.1 de la LOPD, principalmente, quitando de la web los datos personales que identifican o hacen identificables a los trabajadores de un procedimiento de licitación, que además se halla finalizado desde octubre 2016.” HECHOS PROBADOS 1. Con objeto de proceder a la licitación del contrato de mantenimiento de Colegios de Educación Infantil y Primaria, de Educación Especial y de Educación y Promoción de Adultos, el Ayuntamiento de A Coruña publica en su sede electrónica, en abierto, una serie de documentación que da a conocer datos de carácter personal de trabajadores con motivo de que la nueva adjudicataria se habrá de subrogar como empleadora en los contratos. La denunciante señala que dichos datos figuran expuestos sin consentimiento de los afectados y sin habilitación por la normativa de protección de Datos. 2. En la sede electrónica de la denunciada, apartado: ”Información pública, perfil del contratante”, en el expediente ***EXP.1, que fue resuelto el 23/09/2016 (folios 63 a 66) continuaba expuesta a 19/07/2017, la siguiente documentación que coincide con la aportada por la denunciante: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 a. En el apartado “Anexo personal” en formato pdf publicado desde 7/06/2016
(67)se comprende una relación de D.D.D. identificados por SEIS LETRAS que corresponden los dos primeras al nombre y el resto a las dos primeras de los apellidos (19, 69) según escrito en el que la denunciada solicita a MAGA LIMPIEZAS (la hasta entonces adjudicataria, que también figura en dicho ANEXO (69 y 19 que presentó la denunciante) Por cada empleado figura la categoría, el salario base, los pluses, el salario bruto, fecha de antigüedad y la dependencia donde presta servicio. (70 a 73, también presentado por la denunciante 21 a 24). El listado lleva el sello de la empresa MAGA b. En el apartado “pliego clausulas técnicas”, publicado en la sede electrónica el 7/06/2016
(80)figura también en pdf, como ANEXO, un listado de 78 empleados “a considerar para efectos de la subrogación y circunstancias laborales aplicables “que coincide con el que figura en el “Anexo personal” (94, 95 en relación 70 a 73). c. En el apartado “Anexo personal TC” en formato pdf publicado en la sede electrónica desde 7/06/2016
(67)se comprende en listado de 15 páginas una relación nominal de trabajadores que resume las cotizaciones de enero 2016 a la Tesorería General de la Seguridad Social y lleva el logo de dicho Organismo. Coincide con el presentado por la denunciante en su denuncia (76-77, 3 a 18). En el mismo se contiene referencia de 286 empleados de la empresa MAGA LIMPIEZAS SL y figuran los datos de número de afiliación, I.P.F. que coincide con el NIF, o NIE, identificados en el nombre y apellidos con CINCO LETRAS que son iniciales de nombre y dos primeras letras de cada apellido, figurando además en la sede electrónica coloreados en amarillo fosforescente, y distinguidos en la relación escaneada en dicho color los 78 afectados. Se compara con el listado que lleva el sello de MAGA y se aprecia que en la relación de Tesorería General de Seguridad Social, no figura la última letra, por lo que es fácilmente relacionable un listado con el otro de forma que se agrega el conocimiento de datos (por ejemplo ALLAMA en la lista de MAGA, figura en el folio 12 de la relación de Tesorería como ALLAM). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II En primer lugar y sobre la alegación de que los datos que figuran expuestos en la página web del Ayuntamiento de A Coruña no se pueden considerar datos personales, hay que señalar que éstos no solamente son los que identifican expresamente el nombre y apellidos o el DNI del afectado, sino también los que las hacen identificables. El artículo 3.1 de la LOPD indica: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13
- a)Datos de carácter personal: cualquier información concerniente a personas físicas identificadas o identificables. De lo anteriormente expuesto se desprende que el concepto de dato personal, según la definición de la LOPD, requiere la concurrencia de un doble elemento: por una parte, la existencia de una información o dato y, por otra, que dicho dato pueda vincularse a una persona física identificada o identificable. Por su parte, el artículo 5.1 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12, recoge en sus aparatados
- f)y
- o)las definiciones de “datos de carácter personal” y “persona identificable”. Así, se considera “datos de carácter personal”: “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a personas físicas identificadas o identificables” y “persona identificable”: “toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionadas”. En el mismo sentido se pronuncia, el artículo 2.
- a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, según el cual, a efectos de dicha Directiva, entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Asimismo, el Considerando 26 de esta Directiva se refiere a esta cuestión señalando que, para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona para identificar a aquélla. En el presente supuesto el cumulo de los dos listados y los datos que se contienen complementan y amplían la información lo que hace identificables a los trabajadores. El listado de la Tesorería General de la Seguridad Social (TC-2) destaca en color los afectados por la subrogación de contratos, conteniendo en I.P.F. los dígitos del NIF, o NIE. El NIF-NIE permite identificar a la persona, pero además, sin conocer dicho NIF-NIE, permitiría identificar al menos por los propios trabajadores, a sus compañeros que prestan servicios en el mismo centro, sobre todo porque en el mismo centro hay pocas personas que prestan dicho servicio, y con toda probabilidad conocerían como se llama su compañero, es decir, se relaciona sin problemas con las SEIS LETRAS de nombre y apellidos que aparecen en los listados. Así pues, no se estima la citada alegación de que no son identificables los datos que figuran en los listados. III En cuanto a si los datos de personas que aparecen “colgados en la red” pueden considerarse tratamiento automatizado de datos, la Sentencia del Tribunal de Justicia de las Comunidades Europeas de 6/11/2003 (Bodil Lindqvist), en un supuesto en el que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 ofrecía información en una página web sobre diversas personas, señalaba en los considerandos 24 a 27: “En cuanto al concepto de «tratamiento» de dichos datos que utiliza el artículo 3, apartado 1, de la Directiva 95/46, éste comprende, con arreglo a la definición del artículo 2, letra b), de dicha Directiva, «cualquier operación o conjunto de operaciones, efectuadas o no mediante procedimientos automatizados, y aplicadas a datos personales». Esta última disposición enumera varios ejemplos de tales operaciones, entre las que figura la comunicación por transmisión, la difusión o cualquier otra forma que facilite el acceso a los datos. De ello se deriva que la conducta que consiste en hacer referencia, en una página web, a datos personales debe considerarse un tratamiento de esta índole. Queda por determinar si dicho tratamiento está «parcial o totalmente automatizado». A este respecto, es preciso observar que difundir información en una página web implica, de acuerdo con los procedimientos técnicos e informáticos que se aplican actualmente, publicar dicha página en un servidor, así como realizar las operaciones necesarias para que resulte accesible a las personas que están conectadas a Internet. Estas operaciones se efectúan, al menos en parte, de manera automatizada. Por tanto, procede responder a la primera cuestión que la conducta que consiste en hacer referencia, en una página web, a diversas personas y en identificarlas por su nombre o por otros medios, como su número de teléfono o información relativa a sus condiciones de trabajo y a sus aficiones, constituye un «tratamiento total o parcialmente automatizado de datos personales» en el sentido del artículo 3, apartado 1, de la Directiva 95/46. “ La Directiva fija en su artículo 3 que sus disposiciones se aplicarán al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero. La LOPD, por su parte, describe en su artículo 2 su ámbito de aplicación mediante una descripción general positiva más genérica que la de la Directiva: será de aplicación a los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado. Pues bien, un sitio Web exige siempre, cualquiera que sea su finalidad, una organización o estructura que permita el acceso por terceros a la información en él contenida. Cumpliría así la primera de las exigencias de un fichero, la estructural u organizativa. Pero es que además, el sitio Web contiene datos de carácter personal, precisamente los referidos a los denunciantes, que fueron difundidos a través de dicho sitio, lo que supone tratamiento en el sentido antes expresado. Por otra parte, la información que se publica en Internet puede ser consultada en cualquier momento por un número indeterminado de personas que residen en múltiples lugares. La ubicuidad de esta información se debe, en particular, a que los medios técnicos empleados para acceder a Internet son relativamente sencillos y cada vez menos costosos, teniendo en cuenta el uso intensivo de Internet el número de destinatarios posibles es muy numeroso. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 IV El procedimiento de contratación administrativa se articula tradicionalmente en dos fases: la de las actuaciones preparatorias y la de adjudicación propiamente dicha. La primera, tiene por objeto la predeterminación administrativa de la mayor parte de los elementos definitorios del objeto (proyecto y pliego de prescripciones) artículos y del contenido del contrato (pliego de cláusulas administrativas). Al expediente se incorporarán el pliego de cláusulas administrativas particulares y el de prescripciones técnicas que hayan de regir el contrato. Esta tramitación del expediente se regirá por los principios de publicidad, concurrencia, transparencia, accesibilidad a la documentación y no discriminación de licitadores. Estos principios deben adecuarse a las normas previstas. Publicidad no significa publicación, y caso de que esta se prevea por la normativa habrá de hacerse a los sujetos concretos y de modo proporcional. El artículo 42 de la Ley de Contratos del Sector Público (LCSP) regula el Perfil de contratante. Se trata de una figura novedosa introducida por la LCSP; es el sistema de información a la actividad contractual de los Entes del Sector Público. Con el fin de asegurar la transparencia y el acceso público a la información relativa a su actividad contractual, los órganos de contratación difundirán, a través de Internet, su perfil de contratante. La forma de acceso al perfil de contratante deberá especificarse en las páginas Web institucionales que mantengan los entes del sector público, en la Plataforma de Contratación del Estado y en los pliegos y anuncios de licitación El perfil de contratante podrá incluir datos e informaciones referentes a la actividad contractual del órgano de contratación, tales como los anuncios de información previa contemplados en el artículo 125, las licitaciones abiertas o en curso y la documentación relativa a las mismas, las contrataciones programadas, los contratos adjudicados, los procedimientos anulados, y cualquier otra información útil de tipo general, como puntos de contacto y medios de comunicación que pueden utilizarse para relacionarse con el órgano de contratación. El artículo 104 de la LCSP determina “Información sobre las condiciones de subrogación en contratos de trabajo”: “En aquellos contratos que impongan al adjudicatario la obligación de subrogarse como empleador en determinadas relaciones laborales, el órgano de contratación deberá facilitar a los licitadores, en el propio pliego o en la documentación complementaria, la información sobre las condiciones de los contratos de los trabajadores a los que afecte la subrogación que resulte necesaria para permitir la evaluación de los costes laborales que implicará tal medida. A estos efectos, la empresa que viniese efectuando la prestación objeto del contrato a adjudicar y que tenga la condición de empleadora de los trabajadores afectados estará obligada a proporcionar la referida información al órgano de contratación, a requerimiento de éste”. Se excluye pues el conocimiento general de los datos de los empleados a subrogar como ha sucedido en el presente caso, pues solo es para los licitadores. Además, la norma no dice que la información sea con la identificación de los trabajadores sino que se ciñe a que lo que se ha de conocer sean “las condiciones de los contratos de los trabajadores”. Este conocimiento podría hacerse a través de datos disociados que el órgano convocante ponga a disposición de los licitadores. V C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 El artículo 6.1 de la LOPD, que consagra, el principio de consentimiento, dictamina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” La LOPD en su artículo 3 define en términos muy amplios el termino tratamiento de datos como: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30/11 (FJ. 7 primer párrafo)… “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. En lo que atañe a la alegación de que la empresa MAGA al dar los datos al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 Ayuntamiento obtuvo el consentimiento de los afectados, se debe indicar que esos datos puede considerarse que están cedidos al Ayuntamiento para la subrogación de empleados, es decir el mantenimiento de la relación contractual, para lo cual no se precisaría el consentimiento de los afectados. Sin embargo, ello no justifica la exposición desde el primer momento, en abierto para el público en general en la web de la denunciada. El tratamiento se debe limitar a su finalidad que no era sino la toma de los datos de afectados (número de empleados, salarios, antigüedad etc.) pero solo para los licitadores, no para el público en general. Además, el procedimiento se resolvió y seguían figurando los datos expuestos, cuando el objetivo y la finalidad de la publicación han desaparecido. Como se ha visto anteriormente, en el presente supuesto, la LCSP no autoriza el uso y difusión en web de acceso general de la relación de trabajadores nominada o que los haga identificables bien a cualquiera, bien a sus compañeros. La subrogación laboral afectaría solo a los “licitadores” y a “la información sobre las condiciones de los contratos de los trabajadores a los que afecte la subrogación que resulte necesaria para permitir la evaluación de los costes laborales que implicará tal medida”, no siendo necesario el conocimiento que relaciona cada puesto con su titular. Así, en este caso se acredita que se ha extralimitado y ha tratado los datos sin consentimiento de los afectados cuando no era precisa la identificación de los mismos para el público en general. La normativa analizada no prevé expresa ni explícitamente ni se deriva que sea necesario que se hayan de conocer los datos de las personas que ocupan los puestos por el público en general, ni siquiera por los licitadores. Las circunstancias de categorías, salarios etc., pueden y deben a estos efectos ser tratadas de modo disociado de los trabajadores nominativamente, solo así se podrían hacer públicas dichas circunstancias que lo que pretenden es tener el referente para su valoración económica. Además, ya se ha concretado que el artículo 104 de la LCSP, en caso de subrogación, se refiere a facilitar a los licitadores, no a cualquier persona, que se consiguió mediante la exposición en web, y tampoco se refiere a cualquier información, sino a la que permita evaluar los costes laborales. Además, el artículo 4.1 de la LOPD señala: “Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.”, consagra el principio de pertinencia en el tratamiento de los datos de carácter personal, que impide el tratamiento de aquellos que no sean necesarios o proporcionados a la finalidad que justifica el tratamiento, debiendo restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de los mismos. En consecuencia, el tratamiento del dato ha de ser “pertinente” al fin perseguido. Este criterio, se encuentra recogido también en el artículo 6 de la Directiva 95/46/CE, Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24/10/1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y aparece también reflejado en el Convenio 108, cuyo artículo 5
- c)indica que "los datos de carácter personal que sean objeto de un tratamiento automatizado (...) serán adecuados, pertinentes y no excesivos en relación con las finalidades para las cuales se hayan registrado”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 La pertinencia en el tratamiento de los datos no sólo debe producirse en el ámbito de la recogida e introducción de los datos en el fichero, sino que habrá asimismo de respetarse en el posterior tratamiento que se realice de los mismos. Obviamente el traslado de los datos de los empleados plenamente identificados al adjudicatario se ha de dar, pues se ha de hacer cargo de esos contratos, aunque tampoco a través de la exposición en la web, En el presente procedimiento se observa que los datos de carácter personal que identifican a los denunciantes, trabajadores de MAGA, fueron expuestos, y aún continúan, en una página web de la denunciada con acceso generalizado. La inclusión en dicho sistema vulnera la normativa de protección de datos, en su artículo 6.1 de la LOPD. En cuanto a la alegación de que se daba cumplimiento a la Ley de Transparencia, indicar que el conocimiento de lo cotizado, del salario, antigüedad, pluses, el centro en el que se presta servicio, el DNI de unos empleados que se van a subrogar en la nueva empresa, no se halla dentro de la obligación que la Ley de Transparencia califica como de “publicidad activa” que pueda corresponder al Ayuntamiento denunciado. Asimismo, no existe una ley específica que prevea concretamente la exposición en abierto para el público en general de los datos objeto de la denuncia como medio de “información pública”. Ni el control ni el coste económico resultante de la subrogación hacen necesario que se conozcan por defectos todos esos datos, y que cualquier persona tenga acceso a los mismos. VI El tratamiento sin consentimiento supone una infracción tipificada en el artículo 44.3.
- b)de la LOPD que señala “Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en la presente Ley o con incumplimiento de los preceptos de protección que impongan las disposiciones reglamentarias de desarrollo, cuando no constituya infracción muy grave.” Por tanto, la conducta ilícita por la que se declara la infracción de la denunciada como responsable del tratamiento consiste en usar datos sin habilitación legal y sin consentimiento de sus titulares, al ponerlos a disposición de terceros en general en la web de la denunciada, sede electrónica. Estos datos no han sido eliminados tampoco al abrirse este procedimiento. El artículo 46 de la LOPD indica en su título: “Infracciones de las Administraciones públicas”: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores.” Dado el fin que la ley prevé para la subrogación empresarial, a afectos de ajustarse a la LOPD, se podría dar acceso a la información en un primer momento a todos los licitadores, si bien a datos disociados de su carácter personal. Con posterioridad, al ser adjudicado el mismo, este tendría acceso a la relación de personas. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el AYUNTAMIENTO DE A CORUÑA ha infringido lo dispuesto en el artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de la citada Ley Orgánica. SEGUNDO: REQUERIR al AYUNTAMIENTO DE A CORUÑA, de acuerdo con lo establecido en el apartado 3 del artículo 46 de la LOPD, para que acredite en el plazo de un mes desde este acto de notificación las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 6.1 de la LOPD, para lo que se abre expediente de actuaciones previas E/05095/2017. TERCERO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE A CORUÑA. CUARTO: COMUNICAR la presente resolución al DEFENSOR DEL PUEBLO, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es