E-00712-2014

1/7 Expediente Nº: E/00712/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad VINNELL BROWN & ROOT LIMITED LIABILITY COMPANY en virtud de denuncia presentada por D. A.A.A. Y B.B.B. y otros, y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 17 de mayo y 13 de noviembre de 2013, tuvo entrada en esta Agencia escrito de D. A.A.A., Presidente del Comité de Empresa de WINNEL BROWN & ROOT, LIMITED LIABILITY COMPAÑY (en adelante VBR LLC) y otros y de D. B.B.B. , en calidad de Secretario General de la Sección Sindical de UGT de VBR LLC y otros, en los que ponen de manifiesto que, con fecha 15 de marzo de 2013 las Fuerzas Aéreas americanas publican en su web http://www.fob............ un nuevo contrato para el mantenimiento y servicios en la Base Aérea de Morón y en la licitación se publica una relación donde figuran las fechas de nacimiento, de contratación y las categorías profesionales de los empleados españoles que prestan sus servicios en la Base Aérea y en otro archivo constan los nombres y los apellidos y categoría profesional de estos mismos empleados, estando publicada durante el período comprendido entre el 15 y el 18 de marzo de 2013. Significan, que, aunque la “publicación” se realizó por las Fuerzas Aéreas Americanas, la empresa VBR LLC fue la responsable de las relaciones publicadas con datos personales. Añaden que, con fecha 22 de marzo de 2013, se vuelve a publicar una relación de empleados españoles, pero anonimizados el nombre y los apellidos. Adjunto a la denuncia se ha aportado copia de las relaciones publicadas en la web y en los recursos de reposición se ha ajuntado Informe de la Inspección Provincial de Trabajo y Seguridad Social de Sevilla donde se estiman los mismos hechos denunciados. SEGUNDO: Con fecha 2 de diciembre de 2013, el Director de la Agencia acordó no incoar actuaciones inspectoras y no iniciar procedimiento sancionador. Interpuestos recursos de reposición por los denunciantes con fechas 3 y 10 de enero de 2014, con fecha 6 de febrero de 2014 el Director de la Agencia resuelve mediante resolución del procedimiento RR/00026/2014 en la que procede a estimar los recursos y a la apertura de las presentes actuaciones previas. TERCERO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. El Informe de la Inspección Provincial de Trabajo y Seguridad Social de Sevilla C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 consta que se ha comprobado que “Entre los días 15 y 18 de marzo de 2013 en la página web http://www.fob............ se publicó una relación de trabajadores de la empresa VBR en la que, entre otros datos constaban los siguientes: Apellidos y nombre; Fecha de Nacimiento; Estado Civil; Sexo; Nacionalidad. Dicha información fue trasladada por VBR a la Central de licitación del servicio que el Gobierno de EE.UU tiene en Alemania y con la finalidad de que ésta pudiera proporcionar información a los futuros licitadores del Servicio de Mantenimiento de la Base Aérea de Morón de la Frontera, el cual — a fecha de las actuaciones inspectoras - era prestado por VBR en régimen de concesión. La publicación en internet de dicha relación no se hace por VBR sino por la Central de licitación del Gobierno de los EE.UU en Alemania, lo que se produce una vez que la empresa VBR le ha facilitado la misma. Por VBR se manifestó que dicha información es trasladada a la central de licitación como parte de las obligaciones informativas y de control que el titular del servicio tiene respecto de los concesionarios del mismo, en este caso VBR.” Asimismo figura: “En ningún momento se ha solicitado ni, por ende otorgado, consentimiento de ninguno de los trabajadores de la empresa para que sus datos sean incluidos en la mentada relación”. 2. En fecha 24 de febrero de 2014, desde la Inspección de Datos se realiza un acceso a la dirección http://www.fob............1, dirección en la que según manifiestan los denunciantes se encontraban publicadas las relaciones con datos personales de empleados españoles, sin obtener constancia de que se encuentren publicadas. Asimismo se ha verificado que al acceder a la dirección http://www.fob............2 el sistema indica que no se tiene permiso para el acceso. web 3. Con fecha 24 de febrero de 2014 se solicita información a VBR LLC y de la respuesta recibida con fecha de registro de entrada a esta Agencia 18 de marzo de 2014 se desprende: 3.1 VBR LLC manifiesta que es una empresa contratista de nacionalidad norteamericana que, en cumplimiento del Acuerdo Bilateral de Defensa firmado entre los Gobiernos de EEUU y España, participó en su día en el concurso para la adjudicación del contrato de mantenimiento de la Base de utilización Conjunta Hispano Norteamericana en Morón (conforme al Convenio tienen que ser norteamericanas las contratistas) y resultó adjudicataria del concurso por un periodo de cuatro años desde el año 2010 al 2014. 3.2 VBR LLC, expone que el Gobierno Norteamericano (Fuerzas Aéreas) cada cuatro años saca a concurso el mantenimiento de la base, entre la documentación que facilita a las empresas concursantes, se encuentra los datos personales de los empleados españoles que prestan sus servicios en la Base Aérea de Morón y que de adjudicarse el servicio formarán durante los siguientes cuatro años parte del personal de la empresa contratista adjudicataria. Por ello, VBR LLC fue informada de estos datos por el Gobierno de los Estado Unidos y ello por cuanto los contratistas hacen sus ofertas y “heredan” una plantilla de cuya composición son informadas por el Gobierno 3.3 VBR LLC informa que durante los cuatro años de vigencia del contrato se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 comunica informáticamente al Gobierno de EEUU las modificaciones pertinentes respecto de la plantilla de empleados siendo una obligación para todo contratista que está taxativamente recogida en el contrato, en el Pliego de Condiciones Técnicas (Performance Work Statement, en inglés) en el párrafo 2.2, el cual dice textualmente : “el contratista deberá proporcionar y mantener una lista de todos los empleados de la plantilla española por ubicación y función con la siguiente información: Nombre, Fecha de Nacimiento, Lugar de Trabajo, Puesto de Trabajo/Título, Clasificación Laboral, Nacionalidad, Fecha de contratación, Coste Laboral por mes desglosado por: Salario, Pluses, Beneficios, Seguridad Social, Pluses por peligrosidad y toxicidad, antigüedad, otros (especificar). Dicha información, excepto el nombre del empleado, no se considerará confidencial y podrá ser publicada como parte de futuros concursos de solicitudes de propuestas. Por ello, VBR LLC y por imperativo contractual se ha limitado a actualizar los datos para el Gobierno de Estados Unidos. 3.4 VBR LLC manifiesta que próximo a expirar el periodo de cuatro años, el Gobierno Norteamericano ha sacado a concurso de nuevo el contrato de mantenimiento ofreciendo la información detallada de los componentes de la plantilla de la base a los posibles adjudicatarios para que la tengan en cuenta a la hora de hacer sus ofertas siendo la publicación de los datos en la web ajena a la empresa ya que la ha hecho el Gobierno de Estados Unidos sin intervención de VBR LLC 3.5 VBR LLC ha remitido copia del documento sobre protección de datos para los trabajadores de la compañía. Respecto de la comunicación de datos personales, en dicho documento se informa: “reconoce que la protección de datos no es un obstáculo cuando esté legalmente obligada a comunicar información; por ejemplo, notificar al Ministerio Fiscal las deducciones tributarias o al Instituto Nacional de la Seguridad Social información autorizada por ley. Sin embargo, VBR no cederá información que no sea obligatoria por ley. En algunos casos la empresa se puede ver obligada a revelar datos de carácter personal; por ejemplo, por orden de un tribunal Español, investigaciones criminales o fiscales u otro tipo de acción legal. En estos casos, la empresa seguirá el consejo legal y extremará el cuidado si se trata de información confidencial o íntima”. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II Los denunciantes, Presidente del Comité de Empresa y Secretario de la Sección Sindical de CC.OO, en representación de los trabajadores en la empresa VBR LLC que gestiona el mantenimiento de los servicios en la Base Conjunta Aérea de Morón denuncian que en la licitación para un nuevo contrato de gestión de dicha Base se publicaron dos relaciones, una en la que figuran las fechas de nacimiento, de contratación y las categorías profesionales de los empleados españoles que prestan sus servicios en aquélla y, otra en la que constan los nombres y los apellidos y categoría profesional de estos mismos empleados, estando publicadas durante el período C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 comprendido entre el 15 y el 18 de marzo de 2013. La LOPD en su artículo 6, dispone que: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento..”; El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. En el presente caso, los afectados mantienen una relación laboral con la empresa VBR LLC que le habilita para el tratamiento de los datos de los trabajadores para el cumplimiento de las finalidades que tiene encomendada y para las que han sido obtenidos, estando sujeta al deber de secreto de los mismos salvo que esté exceptuada de obtener el consentimiento por alguno de los supuestos contemplados en el artículo 6.2 de la LOPD. Por lo que, habrá de analizarse si la empresa americana VBR LLC estaba exceptuada de obtener el consentimiento para la cesión de los datos de los trabajadores al Gobierno de los Estados Unidos, la difusión por éste a través de la publicación de los datos en la página web http://www.fob............ y si los trabajadores son previamente informados de la posible cesión de los datos al Gobierno de los Estados Unidos. III Los denunciantes han aportado un Informe de la Inspección Provincial de Trabajo y Seguridad Social de Sevilla en el que consta que se comprobó que “ Entre los días 15 y 18 de marzo de 2013 en la página web http://www.fob............ se publicó una relación de trabajadores de la empresa VBR en la que, entre otros datos constaban los siguientes: Apellidos y nombre; Fecha de Nacimiento; Estado Civil; Sexo; Nacionalidad. Dicha información fue trasladada por VBR a la Central de licitación del servicio que el Gobierno de EE.UU tiene en Alemania y con la finalidad de que ésta pudiera proporcionar información a los futuros licitadores del Servicio de Mantenimiento de la Base Aérea de Morón de la Frontera, el cual — a fecha de las actuaciones inspectoras era prestado por VBR en régimen de concesión. La publicación en internet de dicha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 relación no se hace por VBR sino por la Central de licitación del Gobierno de los EE.UU en Alemania, lo que se produce una vez que la empresa VBR le ha facilitado la misma. Por VBR se manifestó que dicha información es trasladada a la central de licitación como parte de las obligaciones informativas y de control que el titular del servicio tiene respecto de los concesionarios del mismo, en este caso VBR.” Asimismo figura: “En ningún momento se ha solicitado ni, por ende otorgado, consentimiento de ninguno de los trabajadores de la empresa para que sus datos sean incluidos en la mentada relación”. Dicho Informe concluye: “No se cuestiona la publicación en internet que dichas listas haya realizado la Central de Licitación, sino el que la empresa VBR haya trasladado esos datos a entidad distinta a la que ostenta la cualidad de empresario. En consecuencia se tratará de determinar si la comunicación de los datos por VBR en favor del Gobierno de los EE.UU ( y a la postre volcados en internet) se encuentra dentro del artículo 11.2.
2. c)de la Ley 15/1999….” IV La AEPD tiene conferida “potestad inspectora” en el artículo 40, apartado 1, que recoge: “Las autoridades de control podrán inspeccionar...” El Reglamento 1720/2007 de 21/12, por el que se aprueba el Reglamento de desarrollo de la LOPD en su artículo 122 prevé:“ 1…., se podrán realizar actuaciones previas con objeto de determinar sin concurren circunstancias que justifiquen tal iniciación...” y el R. D. 1398/1993, de 4/08, del Reglamento del Procedimiento para el ejercicio de la Potestad Sancionadora en su artículo 12 dispone lo siguiente: “ Con anterioridad a la iniciación del procedimiento, se podrán realizar actuaciones previas de investigación..” De acuerdo con la normativa citada corresponde al Director de la Agencia Española de Protección de Datos -AEPD- determinar si, a la vista de la denuncia formulada y de los elementos aportados en justificación de la misma, concurre causa justificativa que lleve a la realización de actuaciones previas de inspección, de suerte que en el presente caso, se realizaron dichas actuaciones previas con el resultado expuesto en el Hecho Segundo de la presente resolución. De la inspección documental realizada se desprende que VBR LLC es una empresa de nacionalidad norteamericana que, en cumplimiento del Acuerdo Bilateral de Defensa firmado entre los Gobiernos de EEUU y España, fue adjudicataria del contrato de mantenimiento de la Base de utilización Conjunta Hispano Norteamericana en Morón desde el año 2010 al 2014, que conforme al Convenio tienen que ser empresas norteamericanas. En este sentido, el Gobierno Norteamericano cada cuatro años saca a concurso el mantenimiento de la base y entre la documentación que facilita a las empresas concursantes, se encuentra los datos personales de los empleados españoles que prestan sus servicios en la Base Aérea de Morón y que de adjudicarse el servicio formarán durante los siguientes cuatro años parte del personal de la empresa contratista adjudicataria. VBR LLC alega como fundamento jurídico de la cesión de los datos de los trabajadores al Gobierno de EEUU en que es una obligación taxativamente recogida en el contrato, en el Pliego de Condiciones Técnicas (Performance Work Statement) en el párrafo 2.2, el cual dice textualmente : “el contratista deberá proporcionar y mantener C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 una lista de todos los empleados de la plantilla española por ubicación y función con la siguiente información: Nombre, Fecha de Nacimiento, Lugar de Trabajo, Puesto de Trabajo/Título, Clasificación Laboral, Nacionalidad, Fecha de contratación, Coste Laboral por mes desglosado por: Salario, Pluses, Beneficios, Seguridad Social, Pluses por peligrosidad y toxicidad, antigüedad, otros (especificar). Dicha información, excepto el nombre del empleado, no se considerará confidencial y podrá ser publicada como parte de futuros concursos de solicitudes de propuestas. Por ello, VBR LLC y por imperativo contractual se ha limitado a “actualizar” los datos para el Gobierno de Estados Unidos. Habida cuenta la operativa descrita la cesión, entendida ésta como proporcionar y mantener la lista de los trabajadores españoles por VBR LLC al Gobierno de los Estados Unidos es decir, entre contratista del servicio y adjudicatario, tiene encaje en el artículo 11.2 de la LOPD que establece: que : “2. el consentimiento exigido en el apartado anterior no será preciso:
3. c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique”. Por otra parte, dado que el contrato de gestión de la Base de Morón tenía vigencia para el periodo 2010/ 2014, a la fecha de la presente resolución la empresa VBR LLC, estando en marcha sus sustitución, haya sido reemplazada por una nueva adjudicataria. V No ofrece dudas, el hecho de que la publicación de los datos de los trabajadores de la Base de Moron por el Gobierno de los Estados Unidos se produjo en una página web http://www.fob............ que se corresponde a una página web del Gobierno de los Estados Unidos y que por competencia territorial queda excluida del amparo de la normativa de protección de datos española. No obstante, se señala que en fecha 24 de febrero de 2014, desde la Inspección de Datos se realiza un acceso a la dirección http://www.fob............1, dirección en la que según manifiestan los denunciantes se encontraban publicadas las relaciones con datos personales de empleados españoles, sin obtener constancia de que se encuentren publicadas. Asimismo se ha verificado que al acceder a la dirección web http://www.fob............2 el sistema indica que no se tiene permiso para el acceso. VI El Informe de la Inspección de Trabajo afirma que no consta que en momento alguno se haya informado por la entidad VBR LLC a los trabajadores de la cesión de sus datos y ni de la finalidades para las que se realizan. De las alegaciones formuladas por VBR LLC, en su escrito de 11 de marzo de 2014, se desprende, con independencia de la comentada actualización por VBR LLC, que la cesión de los datos de los trabajadores españoles no se realiza desde dicha empresa americana radicada en España al Gobierno de Estados Unidos sino en sentido opuesto, esto es, desde éste a aquélla. Esto es, el Gobierno Norteamericano (Fuerzas Aéreas) que, cada cuatro años saca a concurso el mantenimiento de la base de Morón, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 entre la documentación que facilita a las empresas concursantes se encuentran los datos personales que prestan sus servicios en la citada base y que de adjudicarse el servicio formaran parte durante los próximos cuatro años, es decir, la cesión de los datos se lleva a cabo por el Gobierno Americano a la empresa americana con establecimiento en España. En este sentido, sin perjuicio de las limitaciones competenciales de la Agencia, la comunicación se encuentra amparada en el ya transcrito artículo 11.2
4. c)de la LOPD. En el presente caso, la comunicación además se encuentra prevista en el Pliego de Condiciones Técnicas (Performance Work Statement), que no se ha demostrado que no sea accesible a los trabajadores. Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a la empresa VINNELL BROWN & ROOT LIMITED LIABILITY COMPANY y a D. B.B.B. y otros, y a D. A.A.A. y otros en el domicilio común indicado. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es