E-00382-2018

1/6 Expediente Nº: E/00382/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad EMPRESA MUNICIPAL DE TRANSPORTES DE MALAGA, SOCIEDAD ANÓNIMA MUNICIPAL, en virtud de denuncia presentada por Don A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 17 de enero de 2018, tuvo entrada en esta Agencia un escrito remitido por Don A.A.A. en el que expone lo siguiente: “Con fecha 16 de mayo de 2017, la E.M.T. de Málaga, le comunica la incoación de expediente disciplinario por incidentes en su puesto de trabajo, para lo que se utilizó información obtenida a través de una auditoría realizada sobre el ordenador personal que tiene asignado, tanto por la propia empresa como por la empresa externa SAFE SOCIETY LABS, S.L., relacionado con las conexiones a Internet, precisando, páginas visitadas, categorización y horas de visita de su terminal. En ningún momento de su relación laboral fue informado por la empresa de la posibilidad de realizar auditorías sobre su equipo, ni del uso que podía hacer del ordenador asignado. Con fecha 9 de febrero de 2017, se remitió copia del Informe elaborado por el servicio de Informática de la EMT. El Informe realizado por la empresa externa se encuentra en el Juzgado de lo Social nº X.1 de ***LOC.1.” SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:

1. Con fecha 23 de marzo de 2018, se recibió escrito de la Empresa Municipal de Transportes, S.A.M., en el que se pone de manifiesto que: 1.
2. Se adjunta un documento denominado “ FUNCIONES Y OBLIGACIONES DEL PERSONAL RESPECTO AL USO DE LA INFORMACIÓN Y LOS DATOS DE CARÁCTER PERSONAL DE LA EMPRESA MALAGUEÑA DE TRANSPORTES S.A.M.”, DE FECHA 11 DE MARZO DE 2011, en el que en su apartado 5.2 (ACCESO A LOS SISTEMAS DE INFORMACIÓN Y APLICACIONES), consta, entre otros:  El personal sólo accederá a aquellos datos y recursos que precisen para el desarrollo de sus funciones. Así mismo en su apartado 5.4 consta: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6  Los recursos informáticos estarán disponibles únicamente para cumplir las obligaciones laborales a propósito de la operativa para la que fueron diseñados. En el apartado 5.5 (CONECTIVIDAD A INTERNET), consta, entre otros:  La autorización de acceso a Internet se concederá de manera acorde con la labor que los usuarios desempeñen en la EMT.  El acceso a Internet se realizará únicamente a través de la red corporativa y los medios facilitados por la Organización.  El uso de Internet es un servicio que se pondrá a disposición del personal para uso estrictamente profesional.  Por motivos de seguridad, supervisión del trabajo o rendimiento de la red, se podrá controlar, monitorizar o limitar el uso de Internet. 1.
3. Toda la información contenida en el citado manual fue remitida a los empleados de la compañía, mediante correo electrónico. En el mismo se indicaba que era una Instrucción Técnica. 1.
4. Se adjunta copia de un correo electrónico con el Manual como documento adjunto, figura remitido al denunciante en agosto de
5. El correo no se envió de forma que se acreditara la recepción del mismo. 1.
6. La auditoría al equipo del denunciante se realizó a petición del mismo en el marco del expediente disciplinario, motivado por un incidente en una línea, donde él era máximo responsable. 1.
7. Con anterioridad la EMT había accedido al ordenador del denunciante en base a la información contenida en el MANUAL DE FUNCIONES Y OBLIGACIONES DEL PERSONAL, antes referido. Fue tal circunstancia cuando se identificaron ingentes tráficos de datos totalmente inusuales, dándose inicio de las tareas para aclarar tal asunto, manteniendo perfectamente informado al denunciante de todo el proceso en todo momento. A partir de esta situación, de manera unilateral, fue cuando la EMT fue requerida por el denunciante para la realización de la Auditoría Informática de la empresa externa. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III Establece el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en sus dos primeros apartados, lo siguiente: “
8. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa.
9. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” Ahora bien, la excepción al consentimiento está sujeto a garantías como que el “tratamiento” esté sujeto a una “finalidad” prevista y a que previamente a utilizarlos para una distinta se informe previamente del derecho de “información” al afectado. El artículo 4 de la LOPD, prevé que:
10. Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos. De acuerdo a lo establecido por la LOPD, el consentimiento se erige como una de las piedras angulares del principio de protección de los datos de carácter personal. Así, el tratamiento de los datos del particular por parte de un tercero, en principio, sólo se puede llevar a cabo en el caso de que el titular de los mismos autorice dicho tratamiento, estableciéndose la posibilidad de que dicha autorización sea revocada en cualquier momento. Sin embargo, a lo largo de la LOPD se prevén determinados casos en los que el tratamiento de los datos de un particular no requiere del consentimiento que es exigido como regla general. Un ejemplo de dicho caso se da cuando aquél que realiza el tratamiento está ligado al titular de los mismos mediante una relación laboral, cuestión que se observa en el presente caso. En este mismo sentido, el Estatuto de los Trabajadores aprobado por el Real Decreto Legislativo 2/2015, de 23 de octubre, por el que se aprueba el texto refundido de la Ley del Estatuto de los Trabajadores., establece en su artículo 20.3: “El empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad y teniendo en cuenta, en su caso, la capacidad real de los trabajadores con discapacidad”. El citado artículo, habilita a la entidad denunciada a establecer los procedimientos que estime más adecuados para poder verificar el cumplimiento por parte de los trabajadores de sus obligaciones y deberes laborales; incluso pudiendo verificar la utilización de los recursos informáticos que se entrega a los trabajadores para el cumplimiento de sus obligaciones laborales. No obstante el artículo 20.3 no legitima por si solo el tratamiento de los datos denunciados, si bien este será posible, aún sin contar con el consentimiento del afectado en caso de que el trabajador haya sido informado debidamente, sin que en ningún caso, supongan una vulneración del vigente artículo 4.2.e del citado Estatuto de los Trabajadores. A este respecto, señala el artículo 5 de la LOPD, relativo al derecho a información en la recogida de datos: “
11. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco: a De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información. b Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 c De las consecuencias de la obtención de los datos o de la negativa a suministrarlos. d De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición. e De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento.
12. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior.
13. No será necesaria la información a que se refieren las letras b, c y d del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban.” IV En el presente caso, el denunciante manifiesta en su escrito, que la EMT de Málaga en ningún momento le había informado de la posibilidad de auditar su equipo informático ni del uso que podía hacer del ordenador asignado. La EMT de Málaga ha aportado el Manuel denominado: FUNCIONES Y OBLIGACIONES DEL PERSONAL RESPECTO AL USO DE LA INFORMACIÓN Y LOS DATOS DE CARÑACTER PERSONAL DE LA EMPRESA MALAGUEÑA DE TRANSPORTES S.A.M., y que fue enviado a todos los trabajadores de la mencionada empresa por correo electrónico, en fecha 9 de marzo de 2012, a las 12:30 horas. En el listado de destinatarios se encuentra el denunciante. En el apartado 5.5 (CONECTIVIDAD A INTERNET), consta, entre otros, lo siguiente:  El uso de Internet es un servicio que se pondrá a disposición del personal para uso estrictamente profesional.  Por motivos de seguridad, supervisión del trabajo o rendimiento de la red, se podrá controlar, monitorizar o limitar el uso de Internet. Por lo que, la concurrencia o no de infracción a la normativa sobre protección de datos lleva a ponderar, en base al principio de contradicción entre los hechos denunciados y las actuaciones inspectoras de esta Agencia, si se han producido las infracciones denunciadas que, en síntesis, sería la falta de información del artículo 5 en el establecimiento de los sistemas de control de la conectividad a internet a través de la red corporativa de la EMT de Málaga y usando los medios entregados para la realización del trabajo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 Ha quedado probado que el todos los trabajadores de la EMT de Málaga habían sido informados del sistema de control del uso de internet, de manera extensa y pormenorizada. Además el control que se realizó cumplía el requisito de ser proporcional a la finalidad perseguida; necesario para poder acreditar que se utilizaban los medios puestos a disposición de un trabajador para el desempeño de su trabajo de forma desleal; y adecuado al haberse limitado al control de una situación concreta debido a un incidente de seguridad acaecido durante las horas en que el denunciante prestaba servicio. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a la EMPRESA MUNICIPAL DE TRANSPORTES DE MALAGA, SOCIEDAD ANÓNIMA MUNICIPAL, y a Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es