1/6 Expediente N.º: EXP202409298 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 16/06/2024, se presentó reclamación ante la Agencia Española de Protección de Datos contra TRANSPORT GLOBAL SECOSUR, S.L., con NIF B73469264 (en adelante, TGS). Los motivos en que basa la reclamación son los siguientes: La parte reclamante afirma que la empresa TGS, de la que era trabajador, utilizó sus datos personales para falsificar un certificado de realización de un curso de seguridad de aviación civil, con el fin de que le permitieran el acceso a instalaciones aeroportuarias para realizar tareas relacionadas con la logística. Adjunta a su reclamación la siguiente documentación: - Denuncia de los hechos objeto de la reclamación ante la Guardia Civil con fecha 20/04/2024, en la que se indica que recibió el certificado por medio de un mensaje de WhatsApp enviado por la empresa a su teléfono. - Copia de certificado emitido por SERVICIOS Y ESTUDIOS PARA LA NAVEGACIÓN AÉREA Y LA SEGURIDAD AERONÁUTICA S.M.E. M.P. S.A. (en adelante, SENASA), con fecha 22/06/2023, en el que figura lo siguiente: “El presente certificado de reconocimiento se ha emitido a: A.A.A. Con DNI / TIP: ***NIF.1 Para constatar que el día 22/06/2023 superó satisfactoriamente el examen del curso inicial compuesto por los siguientes módulos formativos cuyos contenidos han sido determinados por la Agencia Estatal de Seguridad Aérea (AESA) y desarrollados y/o impartidos por: Módulos del Programa Nacional de Formadón (PNF) que componen el curso: 11.2.7 Formación de personas que requieran una sensibilización en materia de seguridad general” - Copia de su contrato de trabajo con TGS, de fecha 21/11/2022. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a TGS, para que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/6 procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogido por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 07/07/2024, como consta en el certificado que obra en el expediente. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se envió una copia por correo postal que fue notificada fehacientemente en fecha 22/07/2024. En dicha notificación, se le recordaba su obligación de relacionarse electrónicamente con la Administración, y se le informaban de los medios de acceso a dichas notificaciones, reiterando que, en lo sucesivo, se le notificaría exclusivamente por medios electrónicos. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 16/09/2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con objeto de comprobar la autenticidad del certificado aportado por la parte reclamante se realizó requerimiento a la entidad SENASA. Con fecha de 07/10/2024 se recibió respuesta de esta entidad en el que afirma que el certificado aportado por la parte reclamante fue expedido por esta entidad y es auténtico. Afirma SENASA que la inscripción se realizó telemáticamente el 22/06/2023 y la matriculación el 23/06/2023 a través de la empresa ABREU AIR WHEELS, S. L. (en adelante, ABREU) y abonado mediante tarjeta de crédito. No obstante, manifiesta SENASA que la inscripción del curso se realizaba online y bastaba con facilitar un nombre, apellidos y número de DNI / NIE, pero sin recibir SENASA copia del mismo. Añade que en la información facilitada en el momento de la inscripción figura lo siguiente: “Afirmo ser yo quien se ha inscrito en la plataforma STELA de SENASA, siendo ciertos y actualizados todos los datos personales suministrados, y me comprometo solemnemente en mi propio nombre y representación a realizar, en su caso, la formación y el examen o pruebas exigidas con total honestidad y según las reglas de que soy conocedor/a, asumiendo íntegramente cualquier C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/6 responsabilidad o consecuencia que se derivasen de mi incumplimiento y de cualesquiera perjuicios que pudiese generar en caso de infringir las normas del examen, comprometiéndome asimismo a no facilitar ni ayudar a otros interesados en la realización del mismo”. Se requirió información sobre la matrícula a ABREU. Con fecha 02/01/2025 se recibió escrito de contestación de ABREU en el que afirma que en 2023 la empresa sufrió una reorganización en su estructura por lo que, aunque habría realizado gestiones para investigar los hechos de la reclamación, no le habría sido posible averiguar lo sucedido por no trabajar ya el equipo en cuestión para la empresa. Afirma asimismo desconocer si el reclamante realizó el curso objeto de este procedimiento. Por último, se realizó requerimiento a la empresa TGS, recibiéndose contestación con fecha 11/04/2025, en la que la empresa afirma lo siguiente: “La empresa no ha realizado ningún curso en nombre de la persona reclamante siendo dicha inscripción realizada en nombre propio.” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento El primer apartado del artículo 6 del RGPD establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/6
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " III Presunción de inocencia En el presente caso, se presentó reclamación en la que se afirmaba que los datos del reclamante habían sido utilizados para la emisión de un certificado sin su consentimiento. De las actuaciones de investigación realizadas por esta Agencia, como se ha expuesto en los antecedentes, no ha sido posible determinar la veracidad de dicha afirmación. A este respecto, debe destacarse que en el ámbito administrativo sancionador son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, teniendo plena virtualidad el principio de presunción de inocencia, que debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetado en la imposición de cualesquiera sanciones. El Tribunal Constitucional en Sentencia 76/1990, considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 53.2 de la LPACAP, establece que, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables tendrán los siguientes derechos: “
- b)A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” Como ha precisado el Tribunal Supremo en Sentencia de 26 de octubre de 1998, la vigencia del principio de presunción de inocencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/6 “no se opone a que la convicción judicial en un proceso pueda formarse sobre la base de una prueba indiciaria, pero para que esta prueba pueda desvirtuar dicha presunción debe satisfacer las siguientes exigencias constitucionales: los indicios han de estar plenamente probados – no puede tratarse de meras sospechas – y tiene que explicitar el razonamiento en virtud del cual, partiendo de los indicios probados, ha llegado a la conclusión de que el imputado realizó la conducta infractora, pues, de otro modo, ni la subsunción estaría fundada en Derecho ni habría manera de determinar si el proceso deductivo es arbitrario, irracional o absurdo, es decir, si se ha vulnerado el derecho a la presunción de inocencia al estimar que la actividad probatoria pueda entenderse de cargo.” Así las cosas, se debe distinguir la verdadera prueba de indicios de las meras sospechas o conjeturas. El Tribunal Constitucional ha manifestado en su Sentencia 24/1997 que “los criterios para distinguir entre pruebas indiciarias capaces de desvirtuar la presunción de inocencia y las simples sospechas se apoyan en que:
- a)La prueba indiciaria ha de partir de hechos plenamente probados.
- b)Los hechos constitutivos de delito deben deducirse de esos indicios (hechos completamente probados) a través de un proceso mental razonado y acorde con las reglas del criterio humano, explicitado en la sentencia condenatoria (SSTC 174/1985, 175/1985, 229/1988, 107/1989, 384/1993 y 206/1994, entre otras).” En definitiva, el principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor. En el presente caso, como se ha expuesto, no existen esos indicios racionales que permitirían imputar a la parte reclamada la comisión de infracciones de la normativa de protección de datos personales, por lo que no cabe estimar enervado el derecho a la presunción de inocencia que le ampara. En el presente expediente, la reclamante denuncia que la empresa TGS, para la que prestaba servicios laborales, habría utilizado sus datos personales sin su consentimiento para inscribirle de forma fraudulenta en un curso de seguridad de aviación civil, generando un certificado expedido por SENASA. Sin embargo, durante la investigación se ha constatado que el certificado aportado por la reclamante es auténtico y fue efectivamente emitido por SENASA tras una inscripción realizada de forma telemática, en la que únicamente se requería introducir los datos personales (nombre, apellidos y DNI), sin aportación de documentación acreditativa. SENASA confirma además que, en el momento de la inscripción, la plataforma exigía la aceptación expresa de un compromiso personal por parte del usuario que introducía los datos. Por su parte, ni la empresa ABREU, a través de la cual se formalizó la inscripción, ni la propia empresa TGS han podido acreditar que la inscripción se realizara por parte de la entidad reclamada, indicando esta última que no llevó a cabo ninguna gestión de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/6 matriculación en nombre de la reclamante. En consecuencia, en ausencia de elementos objetivos que acrediten que la empresa TGS realizara un tratamiento de los datos personales de la reclamante en el contexto denunciado, no resulta posible imputar responsabilidad por infracción de la normativa de protección de datos. IV Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a TRANSPORT GLOBAL SECOSUR, S.L. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-120525 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es