1/7 Expediente Nº: E/00037/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad G Y D IBERICA, S.A.. en virtud de denuncia presentada por D. A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 10 de diciembre de 2012, tuvo entrada en esta Agencia escrito de D A.A.A., remitido por la Agencia Catalana de Protección de Datos, el que se pone de manifiesto que la empresa G y D IBERICA SA obliga a todos sus trabajadores a la renovación anual de dos documentos: el certificado del Banco indicando que la operativa es correcta y; una declaración personal firmada de que no se está incurso en ninguna causa judicial de tipo penal. El denunciante considera que la aportación de estos documentos por cada empleado anualmente es excesiva. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fechas 3 de mayo de 2013 se ha solicitado información a G y D IBERICA SA y de la respuesta recibida con fecha de registro de entrada a esta Agencia el 27 de mayo de 2013 se desprende: 1. G y D IBERICA SA manifiesta que la actividad principal de la entidad se centra, principalmente en la manipulación y fabricación de tarjetas de crédito, hologramas y chips para otras empresas, entre las que se encuentran, VISA Europe Services Inc (en adelante, “VISA”) y MasterCard International Incorporated (en adelante, “MasterCard”). En dicho proceso de fabricación los empleados de la entidad tienen un acceso total y absoluto a datos bancarios de usuarios finales entre otros, de VISA y MasterCard que contienen los elementos necesarios para el uso de dichas tarjetas como medio de pago. En consecuencia, dada la sensibilidad de los datos que tratan los empleados de G y D IBERICA SA en la prestación de sus servicios, el potencial uso que podrían hacer de ellos y, sobretodo, en cumplimiento de las obligaciones contractuales asumidas por la compañía con sus principales clientes en virtud de las correspondiente Políticas de Seguridad de éstas, G y D IBERICA SA está obligada a cumplir determinadas obligaciones, que garanticen la seguridad de dichos datos, entre las que se encuentra, la solicitud de los documentos mencionados: certificado bancario y declaración personal firmada de que no se está incurso en ninguna causa judicial de tipo penal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 2. G y D IBERICA SA manifiesta que los citados documentos “una declaración del propio empleado indicando que no está incurso en un procedimiento penal -no un certificado oficial de penales- y un certificado de una entidad bancaria a elección del propio empleado” no es arbitraría, desproporcionada o injustificada sino todo lo contrario, es necesaria para garantizar la seguridad de los datos que dicho empleado trata, altamente sensibles e imprescindible para cumplir con las obligaciones de seguridad impuestas por los principales clientes de G y D IBERICA, S.A. (. VISA y MasterCard). Adviértase que el incumplimiento de dicha normativa o Política de Seguridad, implicará la retirada de la correspondiente licencia de fabricación por parte de dichos clientes… “ A este respecto G y D IBERICA SA ha aportado copia de los contratos suscritos con VISA Y MASTERCARD y las políticas de seguridad exigidas por ambas compañías. En ambas figura que G y D IBERICA SA debe mantener un archivo en Recursos Humanos para cada empleado y a disposición de los inspectores de seguridad de dichas empresas en las auditorias. Y entre los documentos archivados deberán estar: Documento firmado en el que se indica que el empleado ha leído y recibido una copia de las políticas de seguridad del fabricante y los procedimientos pertinentes a sus funciones, Registro de antecedentes penales actualizado anualmente y Certificado de solvencia bancaria. 3. GYD IBERICA, S.A. manifiesta que sus empleados son informados con carácter previo de todos los extremos exigidos en virtud del artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal así como recabando el consentimiento expreso de sus empleados para el tratamiento de dichos datos, entre otros, en relación con la presentación anual del correspondiente certificado bancario así como la declaración relativa a la no concurrencia de antecedentes penales, mediante la firma de la correspondiente Declaración de Compromiso por parte de cada uno de sus empleados. A este respecto, la compañía ha aportado copia del “Acuerdo de Confidencialidad y Compromiso” firmado por un empleado en el que se especifica, entre otros apartados: “Confirmo no hallarme incurso en ninguna causa judicial de tipo penal , ni tampoco tener antecedentes penales. Cualquier variación sobre la confirmación antedicha que se pudiera producir en el futuro y mientras mantenga mi relación profesional con la empresa me comprometo a notificar a G y D de inmediato”. Asimismo consta “Confirmo haber sido informado sobre la obligatoriedad de presentar de manera puntual o periódica un certificado de no morosidad bancaria…” 4. G y D IBERICA, S.A. manifiesta que en la medida en que en virtud de los contratos relativos a la emisión de tarjetas suscritos con las entidades VISA y MasterCard y las correspondientes Políticas de Seguridad de dichas compañías, G y D IBERICA, S.A. está obligada contractualmente a garantizar que sus empleados mantienen una operativa bancaria correcta y que no se encuentran incursos en causa penal alguna (declaración). Por ello consideran que solicitan a su personal los referidos documentos, con una finalidad concreta, explícita y legítima a fin de poder mantener la relación comercial con sus clientes. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El denunciante expone que la empresa G y D IBERICA SA obliga a todos sus trabajadores a la renovación anual de dos documentos:
- a)el certificado del Banco indicando que la operativa bancaria es correcta y;
- b)una declaración personal firmada de que no se está incurso en ninguna causa judicial de tipo penal, considerando que la aportación de los referidos datos es excesiva. Por su parte, la entidad G y D IBERICA SA acredita, mediante la aportación de los contratos con las entidades, VISA Europe Services Inc. y MASTER CARD Internacional Incorporated, que su actividad principal se centra en la manipulación y fabricación de tarjetas de crédito, hologramas y chips para otras empresas entre las que se encuentran VISA y MasterCard y que en el proceso de fabricación los empleados de la entidad tienen un acceso total y absoluto a datos bancarios de usuarios finales de dichas tarjetas y que contienen los elementos necesarios para el uso de dichas tarjetas como medio de pago. En consecuencia, dada la sensibilidad de los datos que tratan los empleados de G y D IBERICA SA. en la prestación de sus servicios, el potencial uso que podrían hacer de ellos y, sobretodo, en cumplimiento de las obligaciones contractuales asumidas por la compañía con sus principales clientes en virtud de las correspondiente Políticas de Seguridad de éstas, está obligada a cumplir determinadas obligaciones, que garanticen la seguridad de dichos datos, entre las que se encuentra, la solicitud de los documentos mencionados: certificado bancario y declaración personal firmada de que no se está incurso en ninguna causa judicial de tipo penal. III La Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal –LOPD- en su artículo 6 regula el principio del “consentimiento” del interesado para el tratamiento de sus datos, en el que se dispone lo siguiente: “1: El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa.” 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento..” De acuerdo a lo establecido por la LOPD, el consentimiento se erige como una de las piedras angulares del principio de protección de los datos de carácter personal. Así, el tratamiento de los datos del particular por parte de un tercero, en principio, sólo se puede llevar a cabo en el caso de que el titular de los mismos autorice dicho tratamiento, estableciéndose la posibilidad de que dicha autorización sea revocada en cualquier momento. Sin embargo, a lo largo de la LOPD se prevén determinados casos en los que el tratamiento de los datos de un particular no requiere del consentimiento que es exigido como regla general. Un ejemplo de dicho caso se da cuando aquél que realiza el tratamiento está ligado al titular de los mismos mediante una relación laboral, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 como se recoge en el citado apartado 2 del artículo 6. Es patente, la relación laboral del denunciante y de los trabajadores con la mercantil G yD IBERICA S.A, que habilita a esta para el tratamiento de sus datos, siempre dentro de las “finalidades” para los que hayan sido recabados. El Estatuto de los Trabajadores, aprobado por el Real Decreto Legislativo 1/1995, de 24 marzo, establece en su artículo 20. 2 que : “En el cumplimiento de la obligación de trabajar asumida en el contrato, el trabajador debe al empresario la diligencia y la colaboración en el trabajo que marquen las disposiciones legales, los convenios colectivos y las órdenes o instrucciones adoptadas por aquél en el ejercicio regular de sus facultades de dirección y, en su defecto, por los usos y costumbres.” J Junto a ello, el artículo 20.3 E.T. dispone lo siguiente “El empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad humana y teniendo en cuenta la capacidad real de los trabajadores disminuidos, en su caso.” .El citado artículo, habilita al empresario a establecer procedimientos para la adopción de medidas de control empresarial adecuadas a su actividad con respeto de la dignidad humana. La LOPD en su artículo 4, recoge: “1. Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido. En el presente caso, se trata de determinar si la exigencia de la empresa Gy D IBERICA S.A a sus trabajadores de aportar un certificado del banco indicando que su posición en el mismo es correcta y una declaración personal firmada de que no está incurso en ninguna causa judicial de tipo penal es una proporcional y no contraria a la dignidad del trabajador Sobre el tratamiento de datos de carácter personal en el contexto profesional se ha pronunciado el Grupo de trabajo previsto en el artículo 29 de la Directiva 95/46 que es un órgano asesor independiente que engloba a los representantes de ámbito europeo. En su Opinión 8/2001, adoptada el 13 de septiembre de 2001, prevé en el ámbito laboral el tratamiento de determinados datos por parte del empresario para el cumplimiento de sus finalidades, si bien sujeto a determinadas condiciones, al recoger: “Que asumiendo que los trabajadores han sido informados y el proceso es legitimo, el dato personal debe ser adecuado, relevante y no excesivo en relación con las finalidades para las cuales han sido recogidos y para las finalidades para las cuales han sido tratados posteriormente. Asumiendo que los trabajadores han sido informados de la operación de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 tratamiento y presumiendo que el tratamiento es legitimo y proporcional, el tratamiento debe siempre ser justo con el trabajador Esta exigencia de responsabilidad potencialmente extensa presenta varios aspectos en el contexto profesional. En todo momento, el más importante de estos efectos es que el empleador deberá siempre tratar los datos de carácter personal de la manera menos intrusiva posible. Varios elementos son a tomar en cuenta para asegurar la discreción: los riesgos en curso, la clase de datos implicados, la finalidad del tratamiento”. En base a lo expuesto, el Grupo del artículo 29 incluye en el citado documento un ejemplo según el cual los empleadores tal vez pueden tener necesidad de conocer para ciertos empleos si los candidatos poseen un coche y si tienen el permiso de conducir y derecho de pedir esta información, pero sería contrario a este principio el exigir el modelo o el color del coche en cuestión. En definitiva, la naturaleza de un puesto de trabajo puede requerir el uso de determinados datos que no quedaría justificado en otro puesto. En consonancia a lo expuesto, de un lado, la actividad de Gy D IBERICA S.A. consistente en la fabricación de tarjetas de servicios de pago, entre otras, VISA Y MASTER CARD que conlleva que los trabajadores accedan a los datos financieros y bancarios de los usuarios y, de otro lado, la exigencia de las clientes de que a los trabajadores se les exijan garantías adicionales a las de otros sectores menos intrusivos, se estima justifica la exigencia de un certificado sobre la correcta operativa bancaria y de la declaración de no estar incurso en causa penal y se considera “proporcional”, en este caso, al no vulnerarse la dignidad del trabajador dada la preeminencia de los derechos fundamentales del empresario sobre el derecho fundamental a la protección de datos del trabajador. Se debe recordar que para comprobar si una medida restrictiva de un derecho fundamental supera el juicio de “proporcionalidad” es necesario constatar si cumple los tres siguientes requisitos: si tal medida es susceptible de conseguir el objetivo propuesto, “juicio de idoneidad”; si, además, es necesaria en el sentido de que no exista otra medida más moderada para la consecución de tal propósito con igual eficacia “ juicio de necesidad” ; y finalmente si es ponderada o equilibrada por derivarse más beneficios o ventajas para el interés general que perjuicios sobre otros bienes y valores en conflicto “juicio de proporcionalidad”; siendo, en el caso analizado, justificada dada la sensibilidad de los datos tratados por los trabajadores de los usuarios de las tarjetas; idónea para la finalidad perseguida por la empresa; y necesaria dada la exigencia de los clientes ( VISA y MASTERCARD) para el encargo de elaboración de las tarjetas de pago. Junto a ello la Guía de Protección de Datos en las Relaciones Laborales accesible a través de www.agpd.es resulta clarificadora respecto a posibles modificaciones en el tratamiento de datos durante el desarrollo de la prestación laboral y a la necesidad de informar al trabajador: “Las relaciones laborales son dinámicas y pueden estar sujetas a cambios sobrevenidos tanto desde el punto de vista del trabajador como desde la perspectiva de la empresa. Por ello será necesario informar al trabajador en todos aquellos casos en los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 que se produzcan cambios que afecten al tratamiento de los datos personales como la aparición de nuevas finalidades o de nuevos tratamientos” En este sentido, el Real Decreto Ley 1/2010 introduce determinadas previsiones y obligaciones que otorgan soporte normativo a nuevos tratamiento de datos en el entorno laboral que cobra virtualidad específica en supuestos de urgencia vital o casos de salud provocados fuera de horario operativo de los que se ha informado a los trabajadores V A todo lo expuesto, cabe concluir que G y D IBERICA, S.A. ha informado que sus empleados son informados con carácter previo de todos los extremos exigidos en virtud del artículo 5 de la LOPD así como recaba el consentimiento expreso de sus empleados para el tratamiento de dichos datos, entre otros, en relación con la presentación anual del correspondiente certificado bancario así como la declaración relativa a la no concurrencia de antecedentes penales, mediante la firma de la correspondiente Declaración de Compromiso por parte de cada uno de sus empleados. A este respecto, la compañía ha aportado copia del “Acuerdo de Confidencialidad y Compromiso” firmado por un empleado en el que se especifica, entre otros apartados: “Confirmo no hallarme incurso en ninguna causa judicial de tipo penal , ni tampoco tener antecedentes penales. Cualquier variación sobre la confirmación antedicha que se pudiera producir en el futuro y mientras mantenga mi relación profesional con la empresa me comprometo a notificar a G y D de inmediato”. Asimismo consta “Confirmo haber sido informado sobre la obligatoriedad de presentar de manera puntual o periódica un certificado de no morosidad bancaria…” Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a G Y D IBERICA, S.A.. y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es