E-01943-2014

1/7 Expediente Nº: E/01943/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad GRUPO MS&H, Departamento de Gestión de Entrevistas (MUÑOZ STRAUCH&HERMANOS, S.L.) en virtud de la denuncia presentada por A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 27/02/2014 ha tenido entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de A.A.A. (en lo sucesivo la denunciante) en el que manifiesta haber recibido un correo electrónico del GRUPO MS&H, Departamento de Gestión de Entrevistas (en lo sucesivo MS&H o la denunciada) citándola para una entrevista de trabajo que no había solicitado. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que se recogen en el Informe de Actuaciones Previas de Inspección que reproducimos: <<ANTECEDENTES Con fecha de 27 de febrero de 2014 tiene entrada en esta Agencia, a través de su sede electrónica, una denuncia interpuesta por A.A.A., en adelante el denunciante, en la que manifiesta que ha recibido un correo electrónico citándola para una entrevista de trabajo. HECHOS CONSTATADOS 1. La denunciante recibió en su cuenta de correo ..........@gmail.com un correo electrónico de fecha 27 de febrero de 2014 remitido desde .......@grupomsh.es concertando una cita para una entrevista de trabajo. En el correo electrónico figura como remitente GRUPO MS&H y en la cláusula informativa que incluye al pie del mismo se informa de que el responsable del fichero en el que están registrados los datos personales es PROGEDSA SOLUCIONES S.L.U. 2. En respuesta a la solicitud de información realizada por el inspector actuante, los representantes de PROGEDSA SOLUCIONES, S.L.U. remitieron un escrito en el que manifestaron, en referencia al envío del correo electrónico en cuestión, que: 2.1. PROGEDSA SOLUCIONES, S.L.U. es una entidad mercantil dedicada a la prestación de servicios de distribución y comercialización de distintos productos y servicios, a través de una red de agentes comerciales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 La entidad mercantil MUÑOZ STRAUCH & HERMANOS, S.L., viene prestando sus servicios de agencia a PROGEDSA SOLUCIONES, S.L.U. desde el día 15 de diciembre de 2002. MUÑOZ STRAUCH & HERMANOS, S.L., suscribió un Acuerdo de Prestación de Servicios en fecha 07 de junio 2013 con la entidad INFOEMPLEO, S.L. del que adjuntan copia, en virtud del cual, entre otras prestaciones de reclutamiento de personal, INFOEMPLEO, S.L. proporciona currículums a MUÑOZ STRAUCH & HERMANOS, S.L., todo ello conforme a la Política de Publicación y Aviso Legal recogidas en la página web www.infoempleo.com. En el apartado 12) de la referida Política de Publicación, INFOEMPLEO, S.L. manifiesta expresamente que "Los usuarios registrados en Infoempleo, consienten la cesión de sus datos a las empresas que utilizan esta aplicación para el reclutamiento de personal. (...)". En el marco de dicho Acuerdo de Prestación de Servicios, INFOEMPLEO, S.L. facilitó a MUÑOZ STRAUCH & HERMANOS, S.L., entre otros, el curriculum del titular de la dirección de correo electrónico ..........@gmail.com. Así mismo, en la página www.infoempleo.com existe un apartado denominado "Política Privacidad", de obligatoria aceptación para todos aquellos usuarios de la citada web, en cuyo punto 3, el usuario "autoriza expresamente la cesión de sus datos a terceros para que INFOEMPLEO, S.L. lleve a cabo las finalidades previstas en esta política de privacidad". Entre dichas finalidades, recogidas en el punto 2, figura expresamente la comunicación por correo electrónico de ofertas de empleo. Por su parte, PROGEDSA SOLUCIONES, S.L.U. dispone de un Protocolo de Protección de Datos para Captación de Candidatos a Través de Anuncios en Internet, que ha remitido a todos sus agentes autorizados (incluido MUÑOZ STRAUCH & HERMANOS, S.L.), en virtud del cual se instruye a dichos agentes para que, en caso de captar candidatos a agentes a través de internet, se les informe debidamente de sus derechos de acceso, rectificación, cancelación y oposición facilitando para ello la dirección que PROGEDSA SOLUCIONES, S.L.U. tiene expresamente habilitada a estos efectos, a saber: protecciondatos@grupoprogedsa.com. 2.2. Manifiestan que el correo remitido no es una comunicación comercial sino una citación para una entrevista en relación con una oferta de empleo para cubrir una vacante, tal y como se desprende claramente de su tenor literal. 2.3. MUÑOZ STRAUCH & HERMANOS, S.L. tuvo acceso a la cuenta de correo mencionada en virtud del Acuerdo de Prestación de Servicios antes mencionado. En la medida en que el titular de la citada cuenta de correo electrónico nunca llegó a contestar a la oferta remitida por MUÑOZ STRAUCH & HERMANOS, S.L., los datos de dicho titular no están ni nunca han llegado a estar en los archivos de PROGEDSA SOLUCIONES, S.L.U. Así, de conformidad con lo prevenido en el Protocolo de Protección de Datos para entrevistas de candidatos. 2.4. En los archivos de PROGEDSA SOLUCIONES, S.L.U. no consta que el titular de la citada dirección de correo electrónico se haya dirigido a la Compañía en ninguna ocasión, ni para oponerse a la recepción de comunicaciones comerciales ni para ninguna otra finalidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 3. Con fecha 24 de julio de 2014 el subinspector actuante ha mantenido una conversación telefónica con la denunciante A.A.A., quien ha manifestado que hace años se registró en el portal www.infoempleo.com. 4. Se ha verificado por la Inspección de Datos que en el portal www.infoempleo.com se incluye en el punto 12 de la POLITICA DE PUBLICACION que “Los usuarios registrados en Infoempleo, consienten la cesión de sus datos a las empresas que utilizan esta aplicación para el reclutamiento de personal. En virtud de este acuerdo comercial, del consentimiento otorgado por los usuarios de Infoempleo y de la Ley Orgánica 15/1999 de Protección de Datos Personales, Infoempleo, S.L. (sociedad titular de Infoempleo y del fichero de datos personales), le cede los datos de carácter personal de las personas que estén interesadas en su oferta”.>> FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La presente denuncia versa sobre el envío a la dirección electrónica de la denunciante -..........@gmail.com-, sin su consentimiento, de un mensaje en el que se le cita a una entrevista de trabajo que ella no había solicitado. El mail, de fecha 27/02/2014, se remitió desde la dirección .......@grupomsh.es y su texto, según consta en la denuncia, era el siguiente: “Hemos recibido su solicitud referente a la oferta para el sector de la promoción y la comercialización de productos y servicios. A consecuencia de la publicación en el portal de empleo especializado, hemos concertado una cita para celebrar una entrevista en la siguiente dirección”. El mensaje informa seguidamente de la fecha, hora y lugar de la entrevista; de las características del puesto vacante y de los requisitos de edad y documentación exigidos. Aparece firmado por “Dept Gestión de Entrevistas: Grupo MS&H”. A la vista del contenido de esta comunicación electrónica resulta obvio que no puede calificarse de comunicación “comercial” por lo que no es de aplicación a los hechos denunciados la Ley 34/2002, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI) sino la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal. En este sentido debe subrayarse que el apartado
2. f)del Anexo de la LSSI ofrece un concepto legal de “Comunicación comercial” que define como “toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica.” Del tenor del mensaje enviado por el GRUPO MS&H a la denunciante sin su consentimiento se evidencia que con él no se buscaba promocionar la imagen, bienes o servicios de una empresa, razón por la que no son de aplicación a la conducta que se denuncia las disposiciones de la Ley 34/2002. La LOPD, por su parte, como regla general, exige en su artículo 11 para la comunicación de datos personales a un tercero el previo consentimiento del interesado. Así, el artículo 11.1 dispone: “Los datos de carácter personal objeto del tratamiento solo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado.” El artículo 3.
3. i)de la citada norma define la “cesión o comunicación de datos” como “toda revelación de datos realizada a una persona distinta del interesado”. III En el presente caso, la denunciante ha reconocido que se inscribió en el portal www.infoempleo.com como candidata a recibir ofertas de empleo. Así consta en la Diligencia levantada por el Inspector actuante con el contenido de la conversación telefónica mantenida con la denunciante el 24/07/2014. Por otra parte, la Política de Privacidad de INFOEMPLEO, S.L., que se publica su página web establece lo siguiente: “2. Finalidad. Las finalidades del tratamiento de los datos facilitados por los usuarios a Infoempleo son: 1. Creación y gestión de C.V de candidatos y búsqueda de empleo (..) 3. Comunicaciones por correo electrónico, telefónicas o por medio de SMS a su teléfono móvil de : -Gestión de cuenta de usuario: contestación de sugerencias, críticas o comentarios, comunicación de novedades,… -Ofertas de empleo y formación - Información de publicaciones de Infoempleo - Notificación de contenidos y de comunicaciones comerciales y promocionales de Infoempleo, S.L. o de terceros de acuerdo con las preferencias del usuario y la autorización que éste determine en su perfil de Infoempleo.com…” (El C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 subrayado es de la AEPD) El punto 3 de la Política de Privacidad, “Consentimiento del Usuario”, estipula: “El usuario manifiesta haber leído y aceptado expresamente la presente Política de Privacidad al registrarse en Infoempleo.com, otorgando su consentimiento inequívoco y expreso a Infoempleo S.L. al tratamiento de los datos de acuerdo con las finalidades y servicios aquí reflejados. El usuario autoriza expresamente la cesión de sus datos a terceros para que Infoempleo, S.L lleve a cabo las finalidades previstas en esta política de privacidad.” (El subrayado es de la AEPD) En consecuencia, cuando la denunciante - titular de la dirección electrónica en la que se recibió el mensaje que ha dado origen a la presente denuncia- facilitó a INFOEMPLEO sus datos personales aceptó necesariamente la Política de Privacidad de la empresa y con ello autorizó expresamente a INFOEMPLEO para que cediera sus datos a terceros al objeto de cumplir su función de búsqueda de empleo, lo que incluía comunicarle ofertas de empleo a través de la dirección electrónica facilitada. Por lo que respecta a la denunciada, Grupo MS&H, cabe señalar que en el contrato que celebró con INFOEMPLEO S.L., consta su dirección electrónica y que es la misma desde la que la denunciante recibió el mensaje que está en el origen de la presente denuncia. Además, de los términos del contrato que la denunciada suscribió con INFOEMPLEO, S.L., se evidencia que la cesión que ésta hizo de los datos de la denunciante guarda relación, exclusivamente, con sus funciones específicas de búsqueda de empleo y selección de personal. En este sentido resulta muy esclarecedor el apartado 12) del referido contrato que señala lo siguiente: “Los usuarios registrados en Infoempleo, consienten la cesión de sus datos a las empresas que utilizan esta aplicación para el reclutamiento de personal. En virtud de este acuerdo comercial, del consentimiento otorgado por los usuarios de Infoempleo y de la Ley Orgánica 15/1999 de Protección de Datos Personales, Infoempleo, S.L. (sociedad titular de Infoempleo y del fichero de datos personales), le cede los datos de carácter personal de las personas que están interesadas en su oferta. Por la suscripción a nuestros servicios, su empresa garantiza, expresamente, la adopción de cuantas medidas de índole técnica, como de índole organizativa resulten necesarias para la seguridad de los datos personales que le sean cedidos desde Infoempleo. Igualmente, garantiza que únicamente utilizará los datos personales para gestionar el proceso de selección que esté realizando y no los utilizará para cualquier otro fin, cualquiera que éste sea. Asimismo, se compromete expresamente a no utilizar ni durante el proceso de selección, ni una vez terminado el mismo, cuantos datos obtenga de los candidatos, ni los comunicará, ni siquiera para su conservación a otras personas, debiendo en todo momento implementar las medidas de seguridad reseñadas en el artículo 9 de aquella norma legal y especialmente en el RD 1720/2007 que desarrolla la citada ley, que a tal fin se compromete expresamente. De igual manera, una vez terminado el proceso de selección, la empresa se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 obliga a destruir todos los datos personales obtenidos de Infoempleo, así como cualquier soporte o documentos en que conste algún dato de carácter personal de los candidatos. La empresa usuaria de Infoempleo, como cesionaria de los datos de carácter personal de los candidatos que se han interesado por su oferta es plenamente responsable del cumplimiento de toda la normativa de protección de datos personales vigente en cada momento y desde el momento en el que se produzca la cesión es titular de los datos cedidos por Infoempleo, S.L. (…)” (El subrayado es de la AEPD) De las consideraciones precedentes se concluye que la cesión de los datos de la denunciante hecha por INFOEMPLEO a la denunciada fue respetuosa con las disposiciones de la LOPD y cumple los requisitos exigidos por el artículo 11.1 de la Ley Orgánica 15/1999: Se hizo con el consentimiento expreso de la titular de los datos, obtenido con carácter previo a la cesión, y, como demuestran las cláusulas del contrato celebrado entre la empresa cedente y la cesionaria, esta comunicación no tenía más finalidad que cumplir las funciones de ambas empresas: la búsqueda de empleo y selección de personal. Por último, y por lo que atañe a la entidad PROGEDSA SOLUCIONES, S.L.U., (PROGEDSA) que ha sido objeto de investigación por la Inspección de la AEPD, basta señalar que si bien tenía suscrito un contrato de Agencia con la denunciada –GRUPO MS&H- ésta nunca llego a comunicarle los datos personales de la denunciante que le había cedido INFOEMPLEO. Son esclarecedoras en tal sentido las cláusulas del contrato de Agencia que la denunciada y PROGEDSA celebraron, cuyo apartado 6.4 relativo el “Protocolo de Protección de Datos para entrevistas a candidatos” advierte que no se recogerá ningún dato del candidato durante las entrevistas si previamente éste no ha cumplimentado un formulario (denominado Hoja de Cita) en el que se le ofrece información sobre Protección de Datos y en el que el candidato debe facilitar sus datos personales (nombre, apellidos y DNI) y firmar. Por tanto, la eventual incorporación de los datos de un candidato (en este caso y por lo que aquí interesa, los datos de la denunciante) a los ficheros de la sociedad PROGEDSA iría siempre precedida de su consentimiento inequívoco e informado que se otorgaría en el acto de la entrevista siempre y cuando ésta llegara a tener lugar. Por tal razón, los representantes legales de PROGEDSA informaron a la AEPD que “En la medida en que el titular de la citada cuenta de correo electrónico nunca llegó a contestar a la oferta remitida por MUÑOZ STRAUCH &HERMANOS, S.L., los datos de dicho titular no están ni nunca han llegado a estar en los archivos de PROGEDSA SOLUCIONES, S.L.U.” El correo electrónico que la denunciante recibió del GRUPO MS&H decía que, de conformidad con la LOPD, “los datos personales que nos ha facilitado formarán parte de un fichero automatizado de datos de carácter personal cuyo responsable es PROGEDSA SOLUCIONES, S.L.U.” (El subrayado es de la AEPD). Esto significa que los datos de la denunciante no formaban parte del fichero de PROGEDSA en el momento en el que se le envió el correo electrónico sino que se le informa que “formarán” parte de él. Extremo que, como hemos visto, está en consonancia con las estipulaciones del contrato suscrito entre PROGEDSA y la denunciada conforme a la cuales la incorporación de los datos de un candidato a sus ficheros iría siempre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 precedida del consentimiento expreso otorgado por el titular durante la celebración de la entrevista. A tenor de lo reseñado en los párrafos precedentes no se aprecian en los hechos denunciados evidencias o indicios razonables de una posible vulneración de la normativa de protección de datos. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a MUÑOZ STRAUCH&HERMANOS, S.L., PROGEDSA SOLUCIONES, S.L.U., y a D.ª A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es