AI-00059-2023

1/7  Expediente N.º: EXP202213655 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 8 de febrero de 2021 interpuso reclamación ante la autoridad de protección de datos de Noruega (Datatilsynet). La reclamación se dirige contra FUNDACIÓN NORUEGA COSTA BLANCA con NIF G53739256 (en adelante, “la FUNDACIÓN”). Los motivos en que basa la reclamación son los siguientes: La escuela FUNDACIÓN NORUEGA CONSTA BLANCA, donde trabajaba la parte reclamante, tenía un directorio en la herramienta ***HERRAMIENTA.1, denominado “interne ansatte” [Traducción no oficial: “empleados internos”], que contenía documentos con informes sobre reuniones y expedientes en los que se hace referencia a personal del centro de manera concreta e identificable. Este directorio podía ser accedido por cualquier empleado de la escuela. El día siguiente a que la parte reclamante accediese a esta información, ésta fue eliminada, por lo que la parte reclamante sospecha que las acciones de los empleados en ***HERRAMIENTA.1 eran monitoreadas por la dirección de la escuela sin que los empleados tuvieran conocimiento de ello. Junto a la reclamación se aporta: - Impresión de un correo electrónico enviado entre miembros de la escuela, entre los que no está la parte reclamante, en el que se hace referencia a un accidente laboral que tuvo la parte reclamante relacionado con un desperfecto en la cubierta del patio de la escuela. - Copia del acta de dos reuniones de fecha 18 de julio de 2020 en las que se menciona a la parte reclamante como candidata a un puesto en la escuela. - Copia del acta de una reunión de fecha 23 de septiembre de 2020 en la que se discuten aspectos sobre la contratación de la parte reclamante y preguntas realizadas junto con sus repuestas, y una valoración sobre la idoneidad de la parte reclamante para el puesto. - Copia del acta de una reunión con una gestoría de fecha 23 de septiembre de 2020 en la que se detalla una oferta de trabajo realizada a la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 - Impresión de un correo electrónico fechado el 8 de febrero de 2021 enviado por la parte reclamante a otros miembros de la escuela. En este correo electrónico, la parte reclamante indica que pudo ver que el día 5 de febrero de 2021 había documentos en la carpeta “interne ansatte” de Google Classroom en el que se hacía mención a su accidente laboral y a su despido, que podían ser accedidos por cualquier empleado de la escuela, y que muchos de estos documentos fueron eliminados el sábado 6 de febrero de

1. - Impresión de varias pantallas de ***HERRAMIENTA.1, que la parte reclamante indica que son capturas de pantalla de las copias de documentos mencionadas anteriormente, y entre las que se incluye una búsqueda en ***HERRAMIENTA.1 por el nombre de la parte reclamante “A.A.A.”. En esta búsqueda se aprecia que da como resultado varios documentos, entre los que se encuentra uno denominado “Referat fra 18.6.20”, cuyo contenido coincide con el documento aportado junto con la reclamación que es la copia del acta de dos reuniones de fecha 18 de julio de 2020 en las que se menciona a la parte reclamante como candidata a un puesto en la escuela. En esta impresión de pantalla, no se puede distinguir a quién pertenece el ***HERRAMIENTA.1 sobre el que se ha realizado la búsqueda. SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo Sistema IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se transmitió la citada reclamación el día 21 de diciembre de 2022 y se le dio fecha de registro de entrada en la Agencia Española de Protección de Datos (AEPD) el día siguiente. El traslado de esta reclamación a la AEPD se realizó por la autoridad de protección de datos de Noruega teniendo en cuenta que no se trata de un tratamiento transfronterizo en los términos del artículo 4.23 del RGPD, por lo que esta Agencia tramita el caso al ser la autoridad competente en virtud del artículo 55.1 del RGPD TERCERO: Con fecha 13 de febrero de 2023, de conformidad con el artículo 64 entonces vigente de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: El día 18 de octubre de 2023, se realizó inspección presencial en el domicilio de la FUNDACIÓN, obteniéndose, entre otra, la siguiente información:
2. Los representantes de la escuela indicaron que, cuando los empleados comienzan a trabajar en la escuela, tienen que firmar un documento con información sobre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 protección de datos en idioma noruego y español. Indican que había un modelo previo al año 2022, y los inspectores comprobaron que existe una copia de este modelo firmado por un empleado el 19 de enero de
3. Este modelo también contenía varios anexos con pie de firma sobre la existencia de videovigilancia, el compromiso de confidencialidad de los trabajadores, y obligaciones del personal de la escuela en materia de seguridad de datos de carácter personal. También indican que este modelo se modificó en el año 2022 y los inspectores comprobaron que existe una copia de este otro modelo firmada por otro empleado el 20 de septiembre de
4. Este modelo contiene información sobre seguridad de la información en forma de normas para el uso contraseñas, sistemas de información, correo electrónico e internet, y también incluye el anexo que sobre compromiso de confidencialidad que ya estaba en el modelo anterior al año
6. Se aportó documento en idioma noruego de consentimiento en materia de protección de datos firmado por A.A.A. al incorporarse a la Fundación, con fecha de firma del 14 de agosto de
7. Este documento tiene el siguiente contenido: (…)
8. Se aportó copia del Registro de Actividades de Tratamiento que incluye, entre otras, las siguientes actividades que afectan a datos del personal de la escuela: “LABORAL Y RR.HH” (con periodo de conservación de 6 años por una obligación legal relacionada con el Código de Comercio) y “VIDEOVIGILANCIA LABORAL” (con periodo de conservación máximo de 30 días, salvo que estén relacionados con una investigación policial o un procedimiento judicial o administrativo en curso). Además, junto al Registro de Actividades de Tratamiento, se muestran una serie de medidas técnicas y organizativas de seguridad.
9. Los representantes de la escuela declararon que las personas con acceso a los expedientes internos de los empleados son (…).
10. Los representantes de la escuela declararon que se utiliza ***HERRAMIENTA.1 como repositorio de documentación compartida entre el personal de la escuela, y que la documentación subida a ***HERRAMIENTA.1 no es de carácter sensible ni restringido y no debe estar subida a ***HERRAMIENTA.1 documentación sobre los expedientes internos de los empleados, (…). (…).
11. Los representantes de la escuela indicaron que, a través de un proveedor de servicios, los usuarios de ***HERRAMIENTA.1 (y del resto de aplicaciones corporativas) disponen de (…). Se aportó una copia del contrato de encargo de tratamiento al proveedor de servicios (…), con fecha de 5 de octubre de
12. Los representantes de la escuela indicaron que este contrato es la prorrogación de una relación contractual anterior que comenzó en 2017 y aportan varios correos electrónicos de agosto y octubre de 2017 acreditando el inicio de la relación con el proveedor (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7
13. A solicitud de los inspectores, (…) accedió con sus credenciales (…) ***HERRAMIENTA.1 (…) y se realizaron las siguientes búsquedas: 7.
14. Se busca “A.A.A.” y se observa que aparecen varios documentos, entre los que se encuentran los siguientes: - tres documentos que contienen certificaciones relacionadas con permitir a los trabajadores el desplazamiento de su domicilio al centro de trabajo durante las restricciones provocadas por el COVID 19, (…) (que indican que, en ese momento, era la jefa de estudios de primaria y responsable directa de A.A.A.). Se accede a la carpeta que contiene estos documentos y se verifica que todos los empleados tienen acceso a dicha carpeta, y que la carpeta contiene certificados análogos para varios trabajadores. De los documentos que hay en esta carpeta, sólo se han comprobado los permisos de acceso a los documentos en los que aparecía el nombre de la parte reclamante, a los que, como ya se ha indicado, solo tienen permisos de acceso (…). - varios documentos cuyo propietario es (…) que contienen memorias anuales sobre la escuela en los que aparece el nombre de la parte reclamante. Los representantes de la Fundación indican que la finalidad de estos documentos es remitirlos a la Administración noruega. - no se localizan dentro de esta búsqueda ningún documento que contenga información sobre expedientes internos de personal. 7.
15. Se intentó localizar los documentos adjuntados por la parte reclamante en su reclamación mediante las siguientes búsquedas: “Banan har blivit”, “Referat møteXXXX”, “18.6.20” y “Konsekvenser for A.A.A.”, que son los títulos de varios de los documentos que ya han sido descritos previamente en la documentación relevante aportada por la parte reclamante. Tras realizar estas búsquedas y analizar los documentos mostrados, no se ha conseguido localizar ninguno de los ejemplos de documentos adjuntados por la parte reclamante ni ningún expediente interno con datos personales de los empleados. 7.
16. Se realiza una búsqueda de los términos “interne nsatte” e “interne ansatte” en los archivos de tipo “carpeta” sin encontrar ninguna carpeta con este nombre. Se realiza una búsqueda adicional por el término “ansatte” y figura la carpeta “Alle ansatte”, que (…) indica que es el directorio raíz del repositorio. 7.
17. Se muestra la estructura de carpetas del repositorio en la que se observan actas de carácter lectivo, horarios y planificación de excursiones. FUNDAMENTOS DE DERECHO I Competencia y procedimiento De acuerdo con las funciones que el artículo 57.1 a), f) y h) del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que la FUNDACIÓN realiza la recogida y conservación de, entre otros, los siguientes datos personales de personas físicas: nombre y apellido, entre otros tratamientos. La FUNDACIÓN realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III Principio de presunción de inocencia En el presente caso, se reclama que los datos personales de los afectados, obrantes en la base de datos de la FUNDACION, fueron indebidamente expuestos a terceros, toda vez que tenía un directorio en la herramienta ***HERRAMIENTA.1, denominado “interne ansatte” [Traducción no oficial: “empleados internos”], que contenía documentos con informes sobre reuniones y expedientes en los que se hace referencia a personal del centro de manera concreta e identificable. Y que este directorio podía ser accedido por cualquier empleado de la escuela. No obstante, tal circunstancia no ha sido constatada por esta Agencia durante la inspección presencial de fecha 18 de octubre de
18. Lo anterior ha de conectarse con la vigencia en nuestro Derecho Administrativo sancionador del principio de presunción de inocencia reconocido en el artículo 24.2 de la Constitución Española, de modo que el ejercicio de la potestad sancionadora del Estado, en sus diversas manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. El principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor. En el presente caso, no consta que los datos de la parte reclamante fueran accesibles a todos los empleados de la FUNDACIÓN. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 El Tribunal Constitucional (SSTC 131/2003 y 242/2005, por todas) se ha pronunciado en ese sentido al indicar que una de las exigencias inherentes al derecho a la presunción de inocencia es que la sanción esté fundada en actos o medios probatorios de cargo o incriminadores de la conducta imputada y que recae sobre la Administración pública actuante la carga probatoria de la comisión del ilícito administrativo y de la participación en él del denunciado. Por su parte, el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público establece como uno de los principios de la potestad sancionadora el de la “Responsabilidad” y determina al respecto que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. Igualmente, se debe tener en cuenta lo que establece el artículo 53.2 la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, el cual establece que: “Además de los derechos previstos en el apartado anterior, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables, tendrán los siguientes derechos: (…) b) A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario”. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a FUNDACIÓN NORUEGA COSTA BLANCA. TERCERO: COMUNICAR la decisión a la autoridad de protección de datos de Noruega, ante la que se ha presentado la reclamación, a fin de que se la notifique a A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-301023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es