1/11 Procedimiento Nº AP/00011/2013 RESOLUCIÓN: R/02121/2013 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00011/2013, instruido por la Agencia Española de Protección de Datos al MINISTERIO DE HACIENDA Y ADMINISTRACIONES PUBLICAS, vista la denuncia presentada por A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 12/03/2012, tuvo entrada en esta Agencia escrito de D. A.A.A. en el que denuncia que, como detective privado, se encontraba realizando una investigación para una empresa española y en el transcurso de la misma ha localizado en Internet una URL pública, en la que aparece una Relación correspondiente a trabajadores de un Servicio de Vigilancia y Protección en el complejo EUROCIS del Ministerio de Economía y Hacienda. La dirección donde se encuentra es: http:/.........................1 SEGUNDO: Tras la recepción de la denuncia, el Director de la Agencia Española de Protección de Datos ordenó a la Subdirección General de Inspección de Datos la realización de las actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Según consta en la Diligencia adjunta a estas actuaciones de investigación, con fecha 25/04 y 3/05/2012, se accede a la página http://http:/.........................1, obteniéndose constancia de la existencia de la citada Relación, donde consta el literal Relación del Personal de Segur Ibérica, S.A. que presta Servicio en el complejo Eurocis. En dicha Relación constan los siguientes datos: a. Categoría, bajo este literal en casi todos los caso aparecen las siglas V.S.A. o V.S., lo cual, al parecer, significa si es personal con armas o no. b. Nombre y Apellidos. c. DNI d. Antigüedad. 2. Con fecha 28 de mayo de 2012 se accede a través de Internet a la página https://, comprobándose que el dominio: http:/.........................1 pertenece a la Dirección General del Patrimonio del Estado (MHAP). 3. Con fecha 8 de junio de 2012, tiene entrada en esta Agencia un escrito del MINISTERIO DE HACIENDA Y ADMINISTRACIONES PÚBLICAS (Secretaria General), en el que pone de manifiesto, entre otros, que:
- a)En cumplimiento del artículo 334 del Real Decreto Ley 3/2011, la Junta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 Consultiva de Contratación Administrativa del Estado, pone a disposición de todos los órganos de contratación del sector público, una plataforma electrónica que permite dar publicidad a través de Internet a las convocatorias de licitaciones y sus resultados y a cuanta información consideren relevante relativa a los contratos que celebren. En todo caso, los perfiles del contratante de los órganos de contratación deberán integrarse en esta Plataforma, gestionándose y difundiéndose exclusivamente a través de la misma. En las sedes electrónicas de estos órganos se incluirá un enlace al perfil del contratante situado en la Plataforma de Contratación del Estado.
- b)Según Orden EHA/1220/2008, de 30 de abril, por la que se aprueban las instrucciones para operar en la Plataforma de Contratación del Estado, se establece que el acceso a dicha plataforma se realizara en la dirección: http://www.http:/.........................1.
- c)De acuerdo con el artículo 120 del texto refundido de la Ley de Contratos del Sector Público, aprobado mediante Real Decreto Legislativo 3/2011, de 14 de noviembre, (LCSP) es necesario en los contratos de seguridad de edificios en los que el convenio colectivo prevé la “subrogación” del personal adscrito a ese contrato, dar cierta información sobre los contratos de trabajo para que la nueva adjudicataria se subrogue en la posición del empleador.
- d)En el caso de los hechos denunciados, el órgano de contratación, el cual tiene la obligación de publicar toda la información que considere oportuna fue la Secretaría de la Junta de Contratación del Ministerio de Hacienda y Administraciones Públicas. Dicha información tiene carácter público. Asimismo, se adjunta un informe de este órgano de contratación, en el que se hacen constar los extremos citados anteriormente así como, que la información que se pública es realizada por SEGUR IBÉRICA, como medida destinada al beneficio de los trabajadores que constan en la relación, la cual es la que debería contar con el consentimiento de los mismos, aunque se encontraría dentro de una relación laboral. A continuación señala que “el expediente data del año 2010, y en la actualidad se está solicitando a las empresas que remitan la citada información ajustándose a lo estrictamente necesario para conforme al Convenio Colectivo, poder calcular por los potenciales licitadores el coste de personales que tendrían que afrontar”. 4. Con fecha 4 de julio de 2012 tiene entrada en esta Agencia un escrito de SEGUR IBÉRICA, S.A., en el que se pone de manifiesto que:
- a)Con respecto a sus relaciones laborales con todo el personal es de aplicación el Convenio Estatal de Empresas de Seguridad de 10 de noviembre de 2010, el cual en su artículo 14 tiene previsto y regulado el mecanismo de subrogación del personal cuando se produce un cambio de contrata. La nueva adjudicataria del servicio tiene obligación de quedarse con los trabajadores de la empresa anterior. Para llevar a cabo dicha subrogación es necesario aportar una serie de datos de los trabajadores, de forma que la nueva pueda conocer el personal que debe asumir.
- b)En el caso de todos los trabajadores cuyos datos fueron publicados en las listas objeto de esta denuncia, sus contratos recogen la cláusula en la que se especifica expresamente el convenio colectivo del sector, y desde ese momento en que firma su contrato, autorizan a la empresa a dar cumplimiento a dicho artículo 14. TERCERO: Con fecha 8/03/2013, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de las Administraciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 Públicas al MINISTERIO DE HACIENDA Y ADMINISTRACIONES PUBLICAS por una infracción del artículo 6.1 y otra del artículo 10 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como graves en los artículos 44.3.
- b)y 44.3.
- d)de dicha norma. CUARTO: Con fecha 24/07/2013 se emitió la siguiente propuesta: “PRIMERO: Declarar que el MINISTERIO DE HACIENDA Y ADMINISTRACIONES PUBLICAS ha infringido lo dispuesto en los artículos 6.1 y 10 de la LOPD, tipificadas como graves en los artículos 44.3.
- b)y 44.3.
- d)de dicha norma. SEGUNDO: Requerir al MINISTERIO DE HACIENDA Y ADMINISTRACIONES PUBLICAS, para que adopte las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción de los artículos 6.1 y 10 de la Ley Orgánica 15/1999. TERCERO: Notificar la Resolución que se adopte al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados. CUARTO: Comunicar la Resolución que se adopte al DEFENSOR DEL PUEBLO de conformidad con lo establecido en el artículo 46.4 de la Ley Orgánica 15/1999.” QUINTO: Con fecha 5/08/2013 se recibieron alegaciones en las que se indica: 1) El órgano de contratación se limitó a trasladar al resto de potenciales licitadores los datos de las personas que el empleador tenía que subrogar si fuese adjudicatario, de acuerdo con el Convenio aplicable. La empresa cesionaria de los datos SEGUR IBERICA declaró que en los contratos de trabajo consta precisamente la autorización a la empresa para dar cumplimiento a dicho artículo del Convenio que precisa la cesión de datos. 2) Los datos consignados ofrecían mayor seguridad a los trabajadores de la empresa pues podían conocer y comprobar su derecho, y así se entendía por los empleados al no haber formalizado denuncia, careciendo de un interés legítimo la persona que la interpuso. 3) El acceso al documento no era directo en el buscador. Solo las personas interesadas en el procedimiento serían los potenciales conocedores de esa información. Esta dificultad de acceso se valoró en la Sentencia de la Audiencia Nacional de 15/06/2012, recurrente Xunta de Galicia. 4) Se han adoptado las medidas oportunas para impedir el acceso a dicha información como se acredita en el expediente 146/12/01 cuyo PCAP afecta la parte de información que afecta al 120 TRLCSP. Si bien no se aporta la impresión de dicho expediente se accede a plataformadelestado.es y se imprime esta nueva publicación, así como del expediente 07/10/01 no constatándose la existencia de listado con datos de empleados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 HECHOS PROBADOS 1) El denunciante accedió a la dirección http:/.........................1, hallando una relación de trabajadores del Servicio de Vigilancia y Protección en el complejo EUROCIS, conteniendo la categoría, nombre y apellidos, DNI, y antigüedad. (1 a 4) (expediente 07/10/01). Con fecha 25/04/2012, el Servicio de Inspección pudo constatar mediante la impresión, que en la página web contratataciondelestado.es (25 a 33) figuraba el listado objeto de la denuncia en formato pdf y sobre el que se solicitó información al Ministerio de Hacienda y Administraciones Publicas (7,8). La dirección donde se encuentra el listado es: http:/.........................1. El expediente al que se refiere la publicación se adjudicó definitivamente a SEGUR IBERICA el 5/05/2010, si bien a 25/04 y 3/05/2012, el listado era todavía accesible en la citada web como se ha indicado y se aprecia de la impresión obtenida en tales fechas. (26 a 33), sin que con posterioridad se haya podido visualizar la relación denunciada (63-64) 2) El órgano responsable de la publicación en la Plataforma de Contratación del Estado de los datos denunciados es la Secretaria de la Junta de Contratación del Ministerio de Hacienda y Administraciones Públicas (12,13), que informó que el expediente data de 2010 y que el listado se lo remitió SEGUR IBERICA SA. Añade en junio de 2012 que, en este momento, solo se solicitan a las empresas que remitan la información ajustándose a lo necesario para poder calcular el coste de personal. 3) SEGUR IBERICA SA cedió los datos contenidos en el listado denunciado al Órgano de Contratación, de cara a la subrogación del personal que prevé el artículo 14 del Convenio Estatal de empresas de Seguridad en casos de nueva adjudicación del servicio a otro cliente (19, 20, 24). 4) Con fecha 2/09/2013 se accede a la web http:/.........................1 y el documento del expediente 07/10/01 que contiene la relación de personal no resulta visible. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El procedimiento de contratación administrativa se articula tradicionalmente en dos fases: la de las actuaciones preparatorias y la de adjudicación propiamente dicha. La primera, tiene por objeto la predeterminación administrativa de la mayor parte de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 elementos definitorios del objeto (proyecto y pliego de prescripciones: artículos y del contenido del contrato (pliego de cláusulas administrativas. Al expediente se incorporarán el pliego de cláusulas administrativas particulares y el de prescripciones técnicas que hayan de regir el contrato. Esta tramitación del expediente se regirá por los principios de publicidad, concurrencia, transparencia, accesibilidad a la documentación y no discriminación de licitadores. Estos principios deben adecuarse a las normas previstas. Publicidad no significa publicación, y caso de que esta se prevea por la normativa habrá de hacerse a los sujetos concretos y de modo proporcional. Igualmente, el sistema de transparencia no se consigue poniendo a disposición de todo el público documentación referente al contrato, sino solo la precisa El artículo 42 de la Ley de Contratos del Sector Público (LCSP) regula el Perfil de contratante. Se trata de una figura novedosa introducida por la LCSP. Es el sistema de información a la actividad contractual de los Entes del Sector Público Con el fin de asegurar la transparencia y el acceso público a la información relativa a su actividad contractual, los órganos de contratación difundirán, a través de Internet, su perfil de contratante. La forma de acceso al perfil de contratante deberá especificarse en las páginas Web institucionales que mantengan los entes del sector público, en la Plataforma de Contratación del Estado y en los pliegos y anuncios de licitación. El perfil de contratante podrá incluir cualesquiera datos e informaciones referentes a la actividad contractual del órgano de contratación, tales como los anuncios de información previa contemplados en el artículo 125, las licitaciones abiertas o en curso y la documentación relativa a las mismas, las contrataciones programadas, los contratos adjudicados, los procedimientos anulados, y cualquier otra información útil de tipo general, como puntos de contacto y medios de comunicación que pueden utilizarse para relacionarse con el órgano de contratación. La Plataforma de Contratación del Estado en la web, es un espacio de contacto entre los órganos de contratación del sector público y los interesados, pudiendo acceder a través del portal de la dirección http://www.http:/.........................1. El artículo 104 de la LCSP determina “Información sobre las condiciones de subrogación en contratos de trabajo”: “En aquellos contratos que impongan al adjudicatario la obligación de subrogarse como empleador en determinadas relaciones laborales, el órgano de contratación deberá facilitar a los licitadores, en el propio pliego o en la documentación complementaria, la información sobre las condiciones de los contratos de los trabajadores a los que afecte la subrogación que resulte necesaria para permitir la evaluación de los costes laborales que implicará tal medida. A estos efectos, la empresa que viniese efectuando la prestación objeto del contrato a adjudicar y que tenga la condición de empleadora de los trabajadores afectados estará obligada a proporcionar la referida información al órgano de contratación, a requerimiento de éste”. De la citada disposición no se halla justificación para la difusión a través de la web del listado de personal expuesto, ya que se trata de evaluar el coste del PUESTO, sin que sea preciso conocer en esta fase contractual el nombre y apellidos de las personas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 III Se imputa a MINISTERIO DE HACIENDA Y ADMINISTRACIONES PUBLICAS, una vulneración del artículo 6.1 de la LOPD dispone lo siguiente: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en el 6.1, estableciendo que “2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Por otro lado, el artículo 4.1 de la LOPD dictamina: 1. Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido. Este artículo, acompañado del 104 de la de la LCSP determina “Información sobre las condiciones de subrogación en contratos de trabajo”: “En aquellos contratos que impongan al adjudicatario la obligación de subrogarse como empleador en determinadas relaciones laborales, el órgano de contratación deberá facilitar a los licitadores, en el propio pliego o en la documentación complementaria, la información sobre las condiciones de los contratos de los trabajadores a los que afecte la subrogación que resulte necesaria para permitir la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 evaluación de los costes laborales que implicará tal medida. A estos efectos, la empresa que viniese efectuando la prestación objeto del contrato a adjudicar y que tenga la condición de empleadora de los trabajadores afectados estará obligada a proporcionar la referida información al órgano de contratación, a requerimiento de éste”. La Directiva 95/46/CE del Parlamento Europeo y del consejo de 24/10/1995 relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos plasma los principios relativos a la calidad del dato refiriéndose a los mismos en el CONSIDERANDO
(28)con el siguiente tenor: “Considerando que todo tratamiento de datos personales debe efectuarse de forma lícita y leal con respecto al interesado; que debe referirse, en particular, a datos adecuados, pertinentes y no excesivos en relación con los objetivos perseguidos; que estos objetivos han de ser explícitos y legítimos, y deben estar determinados en el momento de obtener los datos; que los objetivos de los tratamientos posteriores a la obtención no pueden ser incompatibles con los objetivos originalmente especificados;” Este aspecto se concreta en su artículo 6: 1. Los Estados miembros dispondrán que los datos personales sean:
- c)adecuados, pertinentes y no excesivos con relación a los fines para los que se recaben y para los que se traten posteriormente; 2. Corresponderá a los responsables del tratamiento garantizar el cumplimiento de lo dispuesto en el apartado” En este sentido, se aprecia también que cumplida la finalidad del anuncio siguió figurando transcurridos dos años desde su resolución definitiva la relación de empleados que ha sido denunciada, sin que se precisara en su día ni después que siga constando en dicha página. Dos aspectos cabe destacar de lo hasta ahora visto. Primero la obligación de ceder los datos por parte de la empresa empleadora que se va a ver subrogada y viene prestando el servicio. Segundo que la información lo es sobre las condiciones de los contratos a los que afecte la subrogación, en aras o destinada al conocimiento del coste laboral. Sobre las modalidades del cumplimiento de esta puesta en conocimiento de los datos, cabe, para actuar conforme a la normativa de protección de datos, que se proporcionen por la empresa el nombre y apellidos de los afectados junto a sus condiciones de coste de puesto, así el órgano de contratación ya dispondría de los datos de todos los afectados clarificando el proceso de subrogación, pero luego el órgano de contratación de cara a los licitadores en general no publique esos datos identificativos por no ser precisos para conocer el coste, y en una fase posterior de adjudicación definitiva se entreguen. La actuación de la puesta en conocimiento ab inicio a todos los licitadores de todos los datos identificativos mediante su anuncio en la web no es precisa por un doble motivo, por no estipularlo precisamente el citado artículo de la LCSP, y por no ser adecuado para los fines ya que se trata de conocer los costes exclusivamente, conllevando así al uso racional de los datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 Por todo lo que antecede, ha quedado acreditado que la denunciada ha infringido el artículo 6.1 de la LOPD al exponer en una web de modo automatizado un archivo en el que figuran los datos de los denunciantes, y que supone un tratamiento de datos de los mismos que va más allá de lo que la norma habilitadora recoge. La LOPD proporciona un amplísimo concepto de tratamiento de datos personales. Serán tratamiento de datos personales las operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias. La Directiva 95/46 /CE es aún más minuciosa en la enumeración de las operaciones o procedimientos que constituyen tratamiento: recogida, registro, organización, conservación, elaboración o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma que facilite el acceso a los mismos, cotejo o interconexión, así como bloqueo, supresión o destrucción. Y el propio Tribunal de Justicia de la Comunidades Europeas (TJCE), en su sentencia de 6/11/2003, relativa al caso de la señora Lindqvist, interpretando este apartado de la Directiva indicó que la publicación de determinados datos personales en una página Web de forma que se facilitaba la difusión o acceso a los mismos constituía tratamiento. La conducta del artículo 6.1 se tipifica en el artículo 44.3.b de la LOPD que señala como tal: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” IV La otra infracción por la que se inició el procedimiento es la del artículo 10 de la LOPD, por poderse visualizar en la web los datos de la relación de empleados. El artículo señala: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” Esta infracción aparece tipificada en el artículo 44.3.
- d)de la LOPD que determina: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” El deber de secreto tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así el Tribunal Superior de Justicia de Madrid ha declarado en su Sentencia nº 361, de 19/07/2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la Sentencia de la Audiencia Nacional, de fecha 14/09/2001, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 recoge en su Fundamento de Derecho Segundo, segundo y tercer párrafo, lo siguiente: “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida”. El art. 10 de la LOPD regula de forma concreta el deber de secreto de quienes tratan datos personales, o intervienen en la serie del tratamiento, dentro del título dedicado a los principios de protección de datos. Este deber de secreto pretende que los datos personales no puedan conocerse por terceros, salvo de acuerdo con lo dispuesto en otros preceptos de la LOPD, como el art. 11 (comunicación de datos) ó 12 (acceso a los datos por cuenta de terceros). Este deber de secreto está lógicamente relacionado con el secreto profesional. Según el ATC de 11-12-89 "el secreto profesional se entiende como la sustracción al conocimiento ajeno, justificada por razón de una actividad, de datos o informaciones obtenidas que conciernen a la vida privada de las personas". Ahora bien, hay que tener en cuenta que en ocasiones la propia normativa exige la transmisión de la información y no existe un deber de secreto que resulte ilimitado y aplicable en cualquier caso. En el presente supuesto, es lo normal que los datos personales de los empleados se puedan conocer por el adjudicatario definitivo, pero a los licitadores solo cabría ofrecer los datos sin identificación, por puestos de trabajo. Además, se hace notar que el documento ha continuado figurando tras la resolución definitiva, acreditándose a la postre que ya no figura. V Respecto a la alegada Sentencia de la Audiencia Nacional de 15/06/2012, recurrente Xunta de Galicia, si bien no indica el número de recurso, parece referirse al 519/2009, que se incorpora al procedimiento extraído de la web CENDOJ. En dicha sentencia trata de la publicación en Internet, en la pagina institucional de la XUNTA, una relación de admitidos para ayudas de discapacitados con el nombre y apellidos entre otros del denunciante, saliendo directamente en el buscador al poner el nombre y apellidos, que lleva a la página de la Xunta. En la fundamentación del fallo, en su punto cuarto se refiere la Audiencia a los principios de publicidad y transparencia en la concesión de subvenciones y en concreto al artículo 18 de la Ley 38/2003 que prevé la publicación en diario oficial del dato de los beneficiarios. Explica la Xunta que la información se hallaba en su página institucional y no el del diario oficial preestableciendo unas casillas a cumplimentar: año y DNI de la persona, y en razón de ello se estimó el recurso planteado por la XUNTA. Este caso es diferente del que aquí se trata que expresamente señala en el 104 de la LCSP que se ha de publicar “la información sobre las condiciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 de los contratos de los trabajadores a los que afecte la subrogación que resulte necesaria para permitir la evaluación de los costes laborales que implicará tal medida. A estos efectos, la empresa que viniese efectuando la prestación objeto del contrato a adjudicar y que tenga la condición de empleadora de los trabajadores afectados estará obligada a proporcionar la referida información al órgano de contratación, a requerimiento de éste”. Se trata de información sobre condiciones…necesaria para permitir evaluación de costes, si pretendiera garantizar a los empleados variaría su redacción constando sus nombres y apellidos, pero lo necesario para valorar los costes no precisa conocer el nombre y apellidos y DNI de los empleados. Sobre que el listado no era incorporado en el motor de búsqueda, sino que había que entrar en la plataforma contratacióndelestado, se debe señalar que ello no es óbice para la constatación reflejada en este procedimiento de unos datos que no han de aparecer en dicha convocatoria. Respecto a que en los contratos de trabajo consta la autorización a la empresa para dar cumplimiento al artículo del Convenio que precisa la cesión de datos, se debe indicar que no se constata que exista en el procedimiento documento alguno que autorice la exposición de los datos objeto de la denuncia en la web objeto de denuncia, pues además iría más allá de lo que legítimamente puede recoger el contrato, debiendo diferenciarse la exposición en dicha plataforma de la aplicación del articulado del Convenio y el contrato con efectos entre partes. Respecto a que los datos consignados ofrecían mayor seguridad a los trabajadores de la empresa pues podían conocer y comprobar su derecho, y así se entendía por los empleados al no haber formalizado denuncia, careciendo de un interés legítimo la persona que la interpuso, se debe señalar que la publicación no es constitutiva de la relación jurídica que es preexistente, ni figurar en el listado presupone la incuestionable relación jurídica en la que se ha de subrogar, ni no figurar supone que quede excluido de la subrogación, sino que la finalidad de la valoración de los costes de puestos de trabajo que se había de dar a conocer es diferente a las garantías que pueda tener cada empleado. Por otro lado en cuanto a la legitimación, el procedimiento se inicia de oficio y nada significa que los afectados no hayan interpuesto la denuncia, pues se constata que no existe consentimiento para la exposición. VI El artículo 4.4 del REPEPOS señala: “En defecto de regulación específica establecida en la norma correspondiente, cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deber imponer únicamente la sanción correspondiente a la infracción más grave cometida.” En el presente caso, primero se produce el tratamiento con la automatización de los datos e inserción en la web, consecuencia de ello, se produce concatenado a ello la infracción del deber de secreto. Una es consecuencia de la otra. Por ello, procede archivar la infracción del artículo 10 y mantener la del artículo 6.1. Vistos los preceptos citados y demás de general aplicación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el MINISTERIO DE HACIENDA Y ADMINISTRACIONES PUBLICAS ha infringido lo dispuesto en el artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de de la citada Ley Orgánica. SEGUNDO: DECLARAR el ARCHIVO de la infracción del artículo 10 de la LOPD iniciado al MINISTERIO DE HACIENDA Y ADMINISTRACIONES PUBLICAS. TERCERO: No se insta por parte de la Agencia la adopción de medida correctora alguna, pues el listado con los datos no resulta accesible en la web. CUARTO: COMUNICAR la presente resolución al DEFENSOR DEL PUEBLO, de conformidad con lo establecido en el artículo 46.4 de la LOPD. QUINTO: notificar la presente resolución al MINISTERIO DE HACIENDA Y ADMINISTRACIONES PUBLICAS y a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es