E-00882-2018

1/6 Expediente Nº: E/00882/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad AREA 10, S.L. (GRUPO ALBATROS) en virtud de denuncia presentada por D. D.D.D. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 15 de enero de 2018, tuvo entrada en esta Agencia escrito de Dña. D.D.D. (en lo sucesivo la denunciante) en el que denuncia a AREA 10, S.L. (GRUPO ALBATROS) (en lo sucesivo el denunciado) por los siguientes hechos.  La denunciante se dio de alta en 2013 en la web de la empresa denunciada con clave y usuario para insertar su currículum vitae para búsqueda de empleo  El 7 de enero de 2018 la denunciante realiza una búsqueda en Google con sus datos personales aparece el enlace ***ENLACE.1 con el fichero pdf de su currículum y el enlace ***ENLACE.2 con su ficha completa, a la que puede acceder cualquier usuario de Google Y, entre otra, anexa la siguiente documentación:  Impresión de pantalla de búsqueda en Google con su nombre y apellidos con los enlaces a los documentos SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1 En la diligencia de 31/1/2018 figura el resultado de la búsqueda en internet con el nombre y dos apellidos de la denunciante con acceso a su ficha de datos, la búsqueda en internet en la web denunciada de más ficheros de tipo pdf que arroja el enlace a 27 currículums diferentes a los que solo se puede acceder a través de la copia temporal en cache, e impresión de pantalla de la web denunciada con el mensaje “web en mantenimiento”. 2 En la diligencia de 31/1/2018 figura que el dominio ***DOMINIO.1 está a nombre de grupoalbatros.org. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 3 Con fecha 20/2/2018 se remite solicitud de información a la entidad denunciada que es respondido en fecha 6/3/2018 por C.C.C., administrador único de la citada entidad en el que detalla: a. el procedimiento de registro en la web de búsqueda activa de empleo. i. En dicha web se recogen datos personales para poder ser comunicados a los terceros autorizados para el cumplimiento de los fines de búsqueda activa de empleo y la puesta a disposición de ofertas a los usuarios de la web. Los usuarios rellenan un formulario con los siguientes datos obligatorios: nombre, apellidos, DNI, sexo, fecha de nacimiento, dirección, provincia, población, código postal, país, teléfono, email, nombre de usuario y contraseña. Aporta impresión de pantalla del formulario. ii. Una vez registrado se pueden modificar los datos y añadir estudios, experiencia laboral y carnets de conducir y adjuntar a su ficha un documento con el curriculum o una carta de presentación. b. Aporta copia de la política de privacidad facilitada a los demandantes de empleo al rellenar el formulario donde identifica como responsable del tratamiento a la entidad denunciada. c. Como medidas de seguridad de los datos personales recogidos, los datos recogidos en la página web se almacenan en una base de datos incorporada a un fichero automatizado inscrito en la AEPD. Para consultar los datos personales se requiere usuario y contraseña, previamente solicitados junto al registro de los datos, y la contraseña está cifrada con MD5. d. Respecto a reclamaciones recibidas, les consta en fecha 23/10/2017 una reclamación de A.A.A., que se adjunta como Anexo I. Se eliminó toda la información relativa al reclamante (datos personales, CV y carta de recomendación) en menos de 24 horas. En fecha 24/10/2017 se notificó al reclamante la cancelación y eliminación de sus datos personales. 4 En la diligencia de 14/3/2018 se aporta: a. Acceso en 14/3/2018 al servicio Monitoriza de la web Axesor, accesible a través de Internet, a la información de la sociedad AREA 10 S.L. b. en 20/2/2018 en Google la búsqueda “filetype:pdf site:areaempleoyformacion.es", arroja como resultado tres páginas con enlaces a, presuntamente, CVs de diversos usuarios de esa web. En todos ellos al clicar en el enlace el resultado es "Not found" pero se accede a la copia temporal en cache. En esta diligencia se incluye el primer CV accedido. c. En 14/3/2018 en Google con la búsqueda “ D.D.D.", que no arroja ningún resultado respecto de la web denunciada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 d. En 12/3/2018 en Google la búsqueda site:areaempleoyformacion.es", no arroja ningún resultado. “filetype:pdf e. En 12/3/2018 las direcciones web ***WEB.1 y ***WEB.2 remiten al dominio ***WEB.3/. f. En 12/3/2018 se obtiene impresión de pantalla de la política de privacidad del responsable GRUPO ALBATROS. g. En 12/3/2018 se obtiene impresión de pantalla del RGPD de la AEPD donde se comprueba la inscripción de 15 ficheros cuyo responsable es la entidad AREA 10 S.L., entre ellos: Fichero Maestro de Alumnos, Fichero Usuarios A y Fichero Usuarios B. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II Establece el artículo 6 de la LOPD lo siguiente: “el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”, cuya vulneración está tipificada como infracción grave en el artículo 44.3.
2. b)de dicha norma, que considera como tal: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo” Establece el artículo 10 de la LOPD lo siguiente: El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”, cuya vulneración está tipificada como infracción grave en el artículo 44.3.
3. d)de dicha norma, que establece: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley” En el presente caso ha resultado que los datos relativos al curriculum de las personas que se inscribían en el portal de búsqueda de empleo, resultaron accesibles a cualquier usuario de la red internet. Dicho tratamiento no está amparado en el consentimiento del afectado, pues de la política de privacidad no se puede deducir esta publicación en abierto. Consecuencia de ese tratamiento se ha visto vulnerado el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 deber de secreto que incumbe a cualquier responsable del fichero y a quien intervenga en el tratamiento. Los hechos constatados constituyen la base fáctica para fundamentar al denunciado las infracciones de los artículos 6.1 y 10 de la LOPD. Por lo expuesto debe indicarse que nos encontramos ante un supuesto de concurso medial, en el que de un mismo hecho derivan dos infracciones, dándose la circunstancia que la comisión de una implica, necesariamente, la comisión de la otra. Esto es, la vulneración del principio de consentimiento ha posibilitado, a su vez, la vulneración del deber de secreto. Por lo tanto, aplicando el artículo 29.5 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, procedería subsumir una de las infracciones en la otra infracción, pues establece el citado precepto que: (…) Cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deberá imponer únicamente la sanción correspondiente a la infracción más grave cometida (…) III No obstante lo anterior, debe tenerse en cuenta que durante las actuaciones previas de inspección se constató que, si bien no se ha podido comprobar la publicación de los datos de la denunciante, los datos de otras 20 personas estuvieron accesibles, a través de internet, como comprobaron los servicios de inspección de esta Agencia mediante el acceso al fichero temporal en cache, aunque no en el enlace directo. Finalmente en fecha de 12/03/2018 se verifico que la búsqueda realizada con la finalidad de hallar documentos en la página web del denunciado tuvo resultado negativo, se verifico la instauración de una política de privacidad y se verifico la inscripción de los ficheros de la entidad en el Registro General de Ficheros de la Agencia. En definitiva, si bien al inicio de las actuaciones previas de inspección se constató la comisión de las infracciones antes descritos, en la actualidad la entidad ha adoptado las medidas oportunas para que los hechos acaecidos no vuelvan a producirse. IV Por su parte el art. 45.6 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
4. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6
5. b)que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en las letras
6. a)y
7. b)del citado apartado 6 del artículo 45 de la LOPD. V Pues bien, en atención a las citadas circunstancias se considera necesario subrayar que la Audiencia Nacional, en su Sentencia de 29 de noviembre de 2013, (Rec. 455/2011), Fundamento de Derecho Sexto, a propósito de la naturaleza jurídica de esta figura, que al referirse al apercibimiento regulado en el artículo 45.6 de la LOPD, advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento -como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella- cuyo objeto es la imposición de medidas correctoras, la SAN citada concluye que cuando las medidas correctoras pertinentes ya hubieran sido adoptadas – como se expone en el Fundamente de Derecho III de la presente resolución- , lo procedente en Derecho será acordar el Archivo de las actuaciones. En el presente caso y teniendo en cuenta las circunstancias del mismo, este organismo está facultado para, en lugar de iniciar la apertura de un procedimiento sancionador, apercibir al denunciado a fin de que adopte las oportunas medidas correctoras. Sin embargo, en base a los principios de intervención mínima y proporcionalidad que informan la capacidad de actuación de esta Agencia y teniendo en cuenta que las medidas correctoras que procedería imponer fueron ya adoptadas por iniciativa propia, en armonía con el pronunciamiento de la Audiencia Nacional recogido en la SAN de 29/11/2013 (Rec. 455/2011) debe acordarse el Archivo de las actuaciones de investigación practicadas. VI El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1 PROCEDER AL ARCHIVO de las presentes actuaciones. 2 NOTIFICAR la presente Resolución a AREA 10, S.L. (GRUPO ALBATROS) y D.D.D.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es