E-00702-2016

1/6 Expediente Nº: E/00702/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad COMMUNICATION CENTER ESPAÑA 24, S.A. en virtud de denuncia presentada por D. A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 20 de noviembre de 2015 tuvo entrada en esta Agencia un escrito de. D. A.A.A. ( en lo sucesivo el denunciante) en el que denuncia que la empresa COMMUNICATION CENTER ESPAÑA 24, S.A. CCES24 ha enviado notificación de su despido a una dirección de correo electrónico de un familiar, no a la suya, en la que en anteriores ocasiones había remitido correos. En dicho correo se informa tanto del despido como de su motivo y otros datos privados. Manifiesta el denunciante que su familiar, receptor del correo, no ha trabajado nunca en la empresa denunciada, únicamente ha participado en una selección de personal, de la que se han mantenido los datos. Aporta copia de un correo electrónico emitido en fecha 16/11/2015 (10:17 horas) desde la cuenta de correo electrónico RH@cces24.es con destino a la cuenta de correo electrónico …..@gmaiLcom en la que figura el mensaje: <<Apreciado Sr. A.A.A., Enviamos este correo electrónico para poner en su conocimiento que el viernes fue enviado burofax a su domicilio con motivo de su despido por causas disciplinarias. La dirección utilizada para el envío fue: (C/...1) Palma de Mallorca…>> SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. De la información y documentación aportada por CCE24 se desprende: a. En su momento el denunciante formó parte de la plantilla de la entidad, por lo cual disponía de su C.V. de todos los datos de contacto habituales en su calidad de empleado (entre otros, teléfono de contacto y dirección de correo electrónico). b. Manifiesta la entidad que, dada la coincidencia de apellido con el Sr. A.A.A., se envió por error la comunicación de despido de éste al Sr. B.B.B., del que también dispone de sus datos, aportando copia del CV del mismo, que no aparece fechado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 2. Para la fijación de la posible sanción serían de aplicación los siguientes criterios del art. 45 de la LOPD:

1. a)El carácter continuado de la infracción: se trata de un caso aislado.
2. b)El volumen de los tratamientos efectuados: ha sido revelados datos de una sola persona, que han sido recibidos por una sola persona.
3. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción: inexistentes.
4. f)El grado de intencionalidad: inexistente.
5. g)La reincidencia por comisión de infracciones de la misma naturaleza: no la hay.
6. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas: no se aprecia.
7. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora: la entidad reconoce los hechos. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
8. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 10 de la LOPD, establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de los mismos. En este sentido, la Sentencia de la Audiencia Nacional de fecha 18/01/02, recoge en su Fundamento de Derecho Segundo, segundo y tercer párrafo: “El deber de secreto profesional que incumbe a los responsables de ficheros automatizados, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable … no puede revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero automatizado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 o, en su caso, con el responsable del mismo” (artículo 10 citado). Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente, como el teléfono de contacto, no pueden ser conocidos por ninguna persona o entidad, pues en eso consiste precisamente el secreto.” “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. El deber de secreto profesional que incumbe a los responsables de los ficheros, recogido en el artículo 10 de la LOPD, comporta que el responsable o quienes intervengan en cualquier fase del tratamiento de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y por lo que ahora interesa, comporta que los datos tratados automatizadamente o no, no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. III En este caso concreto, el denunciante trabajador de la mercantil CCE24, denuncia que dicha entidad remitió a través de su correo electrónico corporativo la notificación de su despido a una dirección de correo electrónico de un familiar, no a la suya, en el que se informa tanto del despido como de su motivo y otros datos privados y manifiesta que su familia, receptor del correo únicamente ha participado en una selección de personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 El correo denunciado se remitió en fecha 16/11/2015 (10:17 horas) desde la cuenta de correo electrónico RH@cces24.es con destino a la cuenta de correo electrónico ……@gmaiLcom, correspondiendo dicho correo a D. B.B.B. En la inspección realizada a la empresa CCE24 informa que, dada la coincidencia del apellido con el Sr. A.A.A., se envió por error la comunicación de despido de éste al Sr. B.B.B., del que también se disponía de sus datos, aportando una copia del C.V. del mismo y remite un correo electrónico de la empresa al destinatario del correo en el que textualmente dice ” procedemos ahora mismo a eliminar su email de nuestra base de datos”. IV Esta Agencia se ha pronunciado en el procedimiento, E/00080/2016, en el que se dirimió la remisión a través de un correo que un empleado envió a sus superiores y en el que por error humano, se añadió la dirección de correo electrónico del denunciante, persona que, aunque cliente de ASISA, no debía ser receptor de dicho correo, ello porque el programa OUTLOOK incluía de forma automática destinatarios de correos recientes cuyo nombre correspondan con las iniciales de destinarios que el usuario vaya tecleando concluyó, mediante resolución de fecha 2/06/2016, el Archivo de actuaciones, en base a que deben estimarse adoptadas ya las medidas correctoras pertinentes en el caso, por lo que debe procederse a resolver el archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la entidad denunciada, en aplicación de la interpretación del artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. El artículo 45.6 de la LOPD, introducido a través de la reforma operada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, dispone: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
9. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
10. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” Trasladando las consideraciones expuestas al supuesto que nos ocupa, se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 observa que la infracción de la LOPD de la que se responsabiliza a la denunciada es una infracción “grave”; que la denunciada no ha sido sancionada o apercibida por este organismo en ninguna ocasión anterior; y que concurren de manera significativa varias de las circunstancias descritas en el artículo 45.5 de la LOPD. Todo ello, unido a la naturaleza de los hechos que nos ocupan, justifica que la AEPD no acuerde la apertura de un procedimiento sancionador y que opte por aplicar el artículo 45.6 de la LOPD. Ahora bien, es obligado hacer mención a la Sentencia de la Audiencia Nacional de 29/11/2013, (Rec. 455/2011), Fundamento de Derecho Sexto, que sobre el apercibimiento regulado en el artículo 45.6 de la LOPD y a propósito de su naturaleza jurídica advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella y cuyo objeto es la imposición de medidas correctoras, la SAN citada concluye que cuando no se requieran medidas correctoras, lo procedente en Derecho es acordar el archivo de las actuaciones. En este caso concreto, atendida la naturaleza de la infracción consistente en un hecho puntual que no admite corrección ni la adopción de una concreta medida correctora, debe procederse en consecuencia, a resolver el archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la denunciada, en aplicación de la interpretación del artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. Recordando que la reiteración en conductas como la denunciada constituye un supuesto sobre el que concurren las circunstancias previstas para la aplicación del régimen sancionador contemplado en la LOPD. A la vista del pronunciamiento recogido en la SAN de 29/11/2013 (Rec. 455/2011) de acuerdo con lo señalado se debe proceder al archivo de las actuaciones. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a COMMUNICATION CENTER ESPAÑA 24, S.A. y a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal.” Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es