E-00128-2018

1/6 Expediente Nº: E/00128/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante Don A.A.A., en virtud de denuncia presentada por KANDLE TECHNOLOGIES BARCELONA, S.L., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 20 de diciembre de 2017, tuvo entrada en esta Agencia un escrito remitido por la entidad KANDLE TECHNOLOGIES BARCELONA, S.L., (en lo sucesivo el denunciante) en el que expone lo siguiente:  La empresa denunciante es una distribuidora en España de un producto software (Vreasy TM) creado por una empresa de EEUU ( F.F.F.). Dicho producto consiste en un portal web para la gestión del negocio de propiedades privadas de casas de vacaciones, que se integra con los conocidos portales de AirBnB, Booking.com, TripAdvisor y HomeAway. Su función es actuar de intermediario entre propietarios e inquilinos. El servicio se comercializa en modalidad SaaS (Software as a Service): lo que se vende es el acceso y disfrute del producto sin necesidad de vender una copia física del mismo, como era el modelo tradicional.  La empresa denuncia a Don A.A.A., antiguo colaborador de la empresa, en una primera etapa a través de su compañía y luego posteriormente en calidad de autónomo, por negarse a devolver o destruir toda la documentación y ficheros que almacenó en su equipo portátil a lo largo de esta relación laboral en la cual actuó como encargado del tratamiento de la empresa denunciante.  En dichos ficheros existía presuntamente una gran cantidad de datos personales. El denunciado tenía un acceso al software autorizado y establecido mediante contrato, lo cual le permitía poseer información personal de los propietarios de los inmuebles, las personas que los administraban, datos fiscales, números de cuentas bancarias, información de las reservas, números de tarjetas de crédito, información de los usuarios de Paypal, etc. La aplicación gestiona 26.000 propiedades, 500 empresas con las que Vreasy tiene compromiso de privacidad, y 200.000 consumidores finales (usuarios del sistema de pago con tarjeta de crédito)  La empresa ha instado, por correo electrónico, al ex trabajador a llevar a cabo el borrado, proporcionando instrucciones precisas, con fecha 11/08/

1. Se adjunta copia del correo electrónico en inglés con fecha 11/08/2016 remitido desde la dirección G.G.G. a la dirección D.D.D., y en el que se indica al denunciado cómo practicar la destrucción de los ficheros que mantiene en su equipo portátil tras su relación laboral con ellos. La última contestación del denunciado es que toda la comunicación ha de ser a través de su abogado, respondiendo su interlocutor que no es capaz de ver cómo su abogado va a ser capaz de limpiar su equipo portátil de todo el material propiedad de Vreasy. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6  La empresa volvió a intentarlo el 27/01/2017, por burofax, contestando el denunciado, también por burofax con fecha 05/02/2017, que no estaba obligado a tal borrado porque el ejercicio del derecho de cancelación está estipulado a nivel de persona física, no de persona jurídica. Solo se aporta esta respuesta del denunciado. Adicionalmente, la empresa aporta la siguiente documentación e información relevante al caso:  Acreditación de la relación laboral entre ambos: o Factura de C.C.C. –el nombre real de la empresa es E.E.E.—a la empresa denunciante (31/10/2015) o Documento donde se establece la finalización con fecha 30/05/2016 de la relación laboral entre denunciante y denunciado, trabajando éste en calidad de autónomo. No se encuentra firmado en el área de firma. o Contrato traducido al español del denunciado firmado con F.F.F. con fecha 01/05/
2. En él se incluye una cláusula de confidencialidad (ap. 5), por la cual debe devolver o destruir toda la información almacenada en su equipo. El denunciado realizaba las siguientes funciones: “CIO, responsable de estrategias de la compañía en área de adquisición de clientes, retención, seguridad del producto, rendimiento e infraestructura. Llevará a cabo cualquier trabajo relacionado con el producto para el que se sienta capaz y relevante.”. No se encuentra ningún apartado de encargo del tratamiento que siga la terminología de la legislación española de protección de datos.  Querella penal del denunciante contra la empresa del denunciado, E.E.E., S.L., (registrada con fecha 21/06/2017) por descubrimiento de secreto de empresa. Fue inadmitida con fecha 07/12/2017, por falta de información en relación al supuesto secreto de empresa que se alega. La empresa denunciante formuló recurso de apelación fechado en 18/12/
3. En dicha documentación se lee que lo que se negó el denunciado a borrar es: código fuente de VREASY, borrado de las bases de datos propiedad de VREASY, las claves de autenticación y los registros rastreados. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Se ha requerido a KANDLE TECHNOLOGIES BARCELONA, S.L., a que amplíe información en relación a, entre otros extremos, la acreditación del tratamiento de datos personales por parte del denunciado objeto de la denuncia, motivo de que hayan quedado almacenados datos personales en el equipo local del denunciado y la naturaleza, categorización y volumetría de los mismos. No se ha obtenido información diferente de la que ya aportó en la denuncia por parte de la empresa denunciada. Se ha cursado un requerimiento de información al denunciado, y éste ha aportado la siguiente información relevante al caso: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6  En ningún momento se ha negado a borrar los datos personales de los clientes de la empresa denunciante fruto de la relación laboral entre ellos.  Comunica que no tiene almacenado ningún dato personal en ningún terminal suyo local, pues ya fueron todos borrados en su momento.  La presente denuncia se enmarca en lo que él llama “proceso laboral” que surgió a la finalización de la relación contractual que tenía él con la empresa denunciante, el cual fue solucionado al llegar ambas partes a un acuerdo que puso fin a dicho “procedimiento laboral”. o Al finalizar la relación entre ellos, la empresa le pide que elimine toda la información que guarda de la misma (incluyendo datos personales de clientes), a lo que les respondió que se pusieran de acuerdo con su abogado. Aporta copia del correo electrónico recibido de la empresa con fecha 11/08/2016 y su correo de contestación, con la misma fecha y coincidente con el que presenta la empresa denunciante en su denuncia ante la Agencia. o En cuanto su abogado le dijo que no necesitaba esa información para el proceso laboral, eliminó toda la información de la empresa denunciante entre la que se encontraban datos personales de sus clientes. o En el marco de ese contencioso, él pidió a la empresa denunciante que no guardara datos personales suyos. La empresa los elimina. Se aporta la solicitud de cancelación de datos que cursó el denunciado ante la empresa denunciante, firmada con fecha 08/09/2016, así como la respuesta obtenida en sentido positivo, fechada a 05/10/
4. o A su vez, la empresa denunciante le pide a él que elimine sus datos y él le responde que no le corresponde eliminar ningún dato de la empresa en sí misma, ya que es una persona jurídica y no física. Supone que la confusión viene de aquí, ya que en ningún caso conserva datos personales de ninguno de los clientes de la empresa denunciante. Se aporta la solicitud de cancelación de datos que recibió de la empresa, firmada con fecha 27/01/2017 por la administradora Doña B.B.B. en representación de la empresa denunciante, así como su respuesta, con fecha 05/02/2017, aduciendo que el artículo 18 de la LOPD sólo contempla personas físicas y no sociedades. Esta respuesta es la que ya aportó la empresa denunciante en la denuncia ante la Agencia. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 Teniendo en cuenta la fecha en la que se produjeron los hechos denunciados, agosto de 2016 y enero de 2017, resultan de aplicación las previsiones contenidas en la LOPD, al no resultar aplicable, en este caso, el Reglamento (UE) 2016/679, de 27 de abril de 2016, General de Protección de Datos, aunque en vigor desde mayo de
5. III La denuncia se concreta en que el Sr. A.A.A. tras finalizar la prestación de servicios que mantenía con la entidad denunciante, habría mantenido los datos personales que había estado tratando para la realización de su trabajo. El artículo 12 de la LOPD “acceso a datos por cuenta de terceros”, establece lo siguiente: “
6. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento.
7. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar.
8. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto de tratamiento.
9. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”. El citado artículo 12.1 de la LOPD permite que el responsable del fichero habilite el acceso a datos de carácter personal por parte de la entidad que va a prestarle un servicio –encargado del tratamiento- sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión de datos. El artículo 22 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter persona, habilita esa comunicación de datos de un prestador de servicios a otro diferente. En su apartado primero indica: “
10. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento o al encargado que éste hubiese designado, al igual que cualquier soporte o documentos en que conste C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 algún dato de carácter personal objeto del tratamiento. No procederá la destrucción de los datos cuando exista una previsión legal que exija su conservación, en cuyo caso deberá procederse a la devolución de los mismos garantizando el responsable del fichero dicha conservación.” En el supuesto presente, Kandle Technologies Barcelona, S.L., mantuvo un contrato de prestación de servicios con E.E.E., mediante el cual el segundo accedía a datos personales cuyo responsable del tratamiento era Kandle. Una vez finalizada la prestación de servicios, Kandle Technologies Barcelona, S.L., se dirigió a E.E.E., en fecha 11 de agosto de 2016, solicitándole que destruyese los ficheros que mantuviese en su equipo portátil y que hubiera utilizado durante el mantenimiento de la relación laboral. Tras las actuaciones de investigación se ha comprobado que los datos personales fueron destruidos por parte de E.E.E., no habiéndose verificado su utilización posterior a la finalización de la relación laboral. IV El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:
11. PROCEDER AL ARCHIVO de las presentes actuaciones.
12. NOTIFICAR la presente Resolución a Don TECHNOLOGIES BARCELONA, S.L. A.A.A. y a KANDLE De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es