1/12 Expediente Nº: E/03736/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad PROSEGUR ESPAÑA SL en virtud de denuncia presentada por D. A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 17 de abril de 2015, tuvo entrada en esta Agencia escrito de D./Dña. A.A.A. (en lo sucesivo el denunciante) en el que denuncia que, es empleado de la empresa PROSEGUR ESPAÑA SL, ( en lo sucesivo PROSEGUR) y que por medio de uno de sus mandos intermedios, en particular el Coordinador de Operaciones en Madrid, se comunica todo lo concerniente al servicio mediante el envío de e-mails a todos los Vigilantes de Seguridad a su cargo. Indica que lo expuesto no constituiría ninguna vulneración en materia de Protección de Datos, si las comunicaciones se hicieran con "Copia Oculta", pero los e-mails se envían de manera que todos los trabajadores destinatarios aparecen con nombre y apellidos en los mismos. También se comunica por e-mail a TODOS los Vigilantes de Seguridad, estén interesados o no, los juicios que tienen señalados para asistir como testigos de hurtos, etc. En los mismos aparecen los nombres y apellidos, así como el lugar y la fecha, poniendo en riesgo de esta manera la integridad física de los mismos, al poder acceder a esos datos cualquier persona interesada en esos juicios del orden jurisdiccional penal. Indica que los datos que han sido cedidos son los siguientes: -Nombres y apellidos. -Direcciones de correos electrónicos. -Número del documento nacional de identidad (DNIs) o (NIEs) -Número de Teléfono particular, privado -lugar de residencia -Número de orden de Empleado -Horario y lugar de trabajo de todo el personal y las zonas -Bajas, incorporaciones, sucesos de personas concretas -Informaciones relativas a infracciones penales Resalta que en su caso como en el de otros, además dichos datos “conforman un perfil de una persona física identificada y identificable, hacen referencia de manera indirecta al origen racial incluso religión o creencias”. Aporta impresión de múltiples correos electrónicos dirigidos a su cuenta de gmail en los que se aprecia visible la lista de direcciones de correo electrónico de otros destinatarios. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados: A) Del análisis de los correos electrónicos aportados por el denunciante se desprende C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 lo siguiente: 1. Los temas que tratan los correos son muy diversos, desde una información de la entrada en vigor de la autorización para usar ropa de verano, remitida sin copia oculta a unos cien destinatarios, a tablas con las horas denominadas “faltantes de jornada” de empleados identificados con nombre y apellidos y un código que puede ser el de empleado. También hay correos informando de los turnos y los lugares donde se deben desempeñar, así como cursos incluyendo una tabla de asistentes en la que se indica el nombre y apellidos de unas 90 empleados y su número de DNI. Existen también correos electrónicos que contienen tablas con las citaciones como testigos de los vigilantes en las que se especifica en cada caso el nombre del citado, la tienda donde se encontraba trabajando cuando ocurrieron los hechos, con fecha, hora y juzgado de citación así como número de referencia del atestado y del procedimiento judicial. En los correos donde se informa de las sustituciones de compañeros se informa en ocasiones de la zona (Coslada, Valdeavero ) donde vive el sustituto. También se comentan las nuevas incorporaciones. 2. El correo electrónico más antiguo es de fecha 19 de abril de 2014 y el más moderno de 21 de marzo de 2015. 3. No se observan datos de salud, origen racial, afiliación, religión o creencias. El denunciante debe referirse a suposiciones que se podrían realizar a partir de los nombres (extranjeros) de las personas. B) Al objeto de aclarar los hechos denunciados se ha solicitado a PROSEGUR la siguiente información y documentación: 1. Origen de las direcciones de correo electrónico de los trabajadores, que se utilizan para la remisión de correos electrónicos tales como cuadrantes, cursos, etc y que, por sus dominios (yahoo, hootmail, gmail) no son correos corporativos sino al parecer correos personales. Motivo por el cual no se remiten los correos electrónicos con copia oculta al objeto de no desvelar las direcciones de correo de los trabajadores al resto de trabajadores. Acreditación documental del consentimiento otorgado por los trabajadores para el tratamiento de sus direcciones de correo personales, así como para su comunicación al resto de trabajadores. 2. Justificación existente para la difusión o comunicación: 2.1. de las horas de absentismo o a recuperar (“faltante de jornada”) de unos trabajadores a otros. 2.2. de los números de DNI de unos trabajadores a otros. 2.3. del lugar de residencia de unos trabajadores a otros. 2.4. de los “señalamientos” o citaciones judiciales con lugar fecha y hora exacta, de unos trabajadores a otros. ( El denunciante indica al respecto que supone una falta de seguridad con riesgo para la integridad física de los vigilantes dar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 a conocer a otros o difundir sus ubicaciones con fechas y horas exactas de forma innecesaria). Se pide en todos los casos información de la justificación existente, con documentación acreditativa de la habilitación legal ostentada para ello, en su caso. Recibida contestación, los representantes de PROSEGUR ESPAÑA SL manifiestan lo siguiente: “II.-Respecto a la primera de las cuestiones planteadas en el punto primero del Requerimiento, esto es, el origen de las direcciones de correo electrónico de los empleados que se utilizan para la remisión de correos electrónicos con fines laborales, indicar que han sido facilitados por los propios empleados. En relación a este punto, se aporta […] el correo electrónico remitido por el Sr. A.A.A., en virtud del cual queda acreditado que él mismo facilita su dirección de correo electrónico al coordinador del servicio, […] consintiendo su tratamiento. Con carácter general, a los vigilantes de seguridad no se les asigna una dirección de correo corporativo, ya que al trabajar en las oficinas del cliente no lo utilizan más que para comunicarse con su coordinador en caso de que tengan un asunto personal que afecte al servicio o recibir instrucciones en relación al servicio. Si se le facilitase una dirección de correo electrónico con dominio de Prosegur, por temas de seguridad, debería asignársele también un teléfono móvil, medida que se hace impracticable dado el elevado número de vigilantes que forman parte de la plantilla de Prosegur. Por todo lo anterior, se solicita a los vigilantes de seguridad que faciliten una dirección de correo electrónico, contratada con el proveedor que elijan, para comunicarse con Prosegur con la recomendación de que habiliten la misma exclusivamente para este fin. No obstante, se escapa del control de esta parte si utiliza la dirección de correo facilitada con más fines, como si se tratase de un correo personal, o únicamente para comunicarse con su coordinador. III.- En relación con la segunda cuestión del apartado primero, el motivo por el cual no se remiten los correos electrónicos con copia oculta, es exclusivamente porque resulta imprescindible que todas las personas afectadas por un servicio se conozcan entre ellas. También es necesario que los trabajadores afectos a un servicio sean informados conjuntamente del cuadrante, de un cambio de turno, de una baja de un compañero, de un curso al que tienen que asistir, etc., de forma que puedan coordinarse entre ellos. Si se realizasen las comunicaciones por separado, sin informar a un vigilante de lo que van a realizar sus compañeros, probablemente faltaría información y el servicio no podría prestarse con normalidad. También podría ocurrir que al coordinador se le olvide incluir una persona -dado el elevado número de personas afectadas por el servicio-, o que por error no cuadre la información en su conjunto, etc. Por todo ello, es primordial que todos y cada uno de los vigilantes de seguridad sepan a quien se ha remitido la información, para que en caso de error pueda informar al coordinador para que tome las medidas que considere oportunas. Como hemos apuntado anteriormente, se utiliza como vía de comunicación empleado/empresa, que puede incluir o no el nombre y apellidos del trabajador en cuestión-al igual que cualquier dirección de correo corporativo de Prosegur-; la única diferencia es el dominio. En cualquier caso, las direcciones de correo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 electrónico se han utilizado siempre con el consentimiento de los trabajadores afectados, son ellos los que la facilitan de "motu proprio", y con la finalidad para la cual se recabaron: gestionar el servicio. IV.- Respecto a la tercera cuestión del apartado primero, adjuntamos copia de las condiciones adicionales que firman los vigilantes de seguridad junto con el trabajo de contrato dónde se autoriza a Prosegur a tratar los datos de carácter personal de sus trabajadores que faciliten a lo largo de la relación laboral, […] Respecto al consentimiento para comunicar su dirección de correo electrónica al resto de trabajadores, como hemos comentado antes, se trata de una cuenta de correo para cuestiones profesionales, habilitada y utilizada exclusivamente para coordinar el servicio y cumplir el objeto del contrato. Además, a estos efectos, los empleados de Prosegur, son Prosegur, y no cabe hacer distinción alguna entre ellos, por lo que no se ha producido una comunicación o cesión de datos en ese sentido. Otra cosa distinta es que los empleados de Prosegur utilizasen los datos fuera del ámbito de su actividad, en cuyo caso, se trataría de un tratamiento no consentido. Cuando el Sr. A.A.A. facilita su dirección de correo electrónico al coordinador, ya se le había informado acerca del uso que se le iba a dar, y prestó su consentimiento para ello. En este sentido, durante toda la relación laboral, se utilizó su cuenta de correo para remitir todas y cada de las comunicaciones -que recibe con copia a otros de sus compañeros- sin que en ningún momento haya manifestado su disconformidad, desde abril de 2014 hasta mayo de 2015 que finaliza su relación laboral con Prosegur. V.- En relación con el punto 2.1 del Requerimiento, son varias las razones para informar sobre las horas de absentismo o a recuperar de unos trabajadores a otros, entre ellas, por impulsar los valores de Prosegur, la transparencia y la igualdad. Todos deben recuperar las horas de absentismo sin hacer distinción alguna. Esta información la facilita el coordinador a los miembros del mismo equipo o centro, en su beneficio, para que puedan coordinarse entre ellos. El conocimiento de esas horas y su necesidad de recuperación permite que el grupo de personas asignado a un servicio a que conozca la razón por la que uno de los miembros del equipo asignado realiza o no más horas en un cuadrante. Con ello se trata de evitar que los miembros de ese equipo entiendan que se ha favorecido/perjudicado a alguna persona concreta. No obstante, esta información es totalmente deducible sumando las horas de los cursos y las ausencias por vacaciones que se hayan producido durante ese periodo, por lo que en ese correo únicamente se recoge información que ya es conocida por cada uno de los destinatarios del correo y que es la normal que surge en el marco de una relación laboral. VI.- Respecto al punto 2.2 del Requerimiento, en la propia hoja de firmas para acreditar la asistencia al curso aparece el nombre y apellidos de cada trabajador que va a asistir al mismo junto con su número de DNI. A pesar de que se trata de un dato de carácter personal, es un dato cuya utilización es necesaria dentro del ámbito de la empresa, para identificar a los trabajadores que van a participar en el curso, o para cualquier otra finalidad, por ejemplo, incluirlo en un contrato o escrito o decidir si aceptar la recepción de un paquete, que manejan o conocen otras personas dentro del ámbito de la compañía, sin que ese conocimiento suponga una cesión ya que forman parte de la plantilla de Prosegur. Por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 supuesto, si esa persona que maneja esos datos hace un uso desproporcionado o ilegítimo de ellos, no hay duda que le será imputable la comisión de una infracción de la normativa sobre protección de datos, pero mientras los utilice dentro del ámbito de la empresa supone un tratamiento más que justificado. VIL- Respecto a la justificación del punto 2.3, se trata de los centros de trabajo o servicio al que van a estar asignados cada uno de los trabajadores, pero en el email no indica que se trate de su lugar de residencia. Se trata de un ejercicio de transparencia y de coordinación, para que cada uno de ellos tenga conocimiento a qué centros van a estar asignados sus compañeros, y así gestionar de una manera más eficaz cualquier modificación que pueda surgir, y revisar y gestionar entre todo que los cuadrantes encajan. En cualquier caso, la información recogida en el e-mail no refleja el domicilio de ninguno de los trabajadores, sino se limita a indicar las poblaciones o barrios dentro de la Comunidad de Madrid dónde va a prestar los servicios cada uno de los vigilantes. Como en la anterior alegación se trata de un ejercicio más de transparencia. Se busca que los miembros de un equipo conozcan el por qué se asigna o no un centro de trabajo concreto (se procura, en la medida de los posible, evitar que el trabajador se desplazase lejos de su zona de residencia). VIII.- En relación con el punto 2.4 del Requerimiento, es imprescindible que los compañeros conozcan la fecha y hora a las que los compañeros citados no van a poder asistir al trabajo. Si por ejemplo un trabajador está citado en Móstoles a primera hora de la mañana, es probable que pueda llegar a prestar el servicio a mediodía si su centro asignado está en Móstoles, sin embargo, si el juicio lo tiene en los juzgados de Plaza de Castilla, difícilmente podrá llegar antes del mediodía. Para que los compañeros estén coordinados es necesario que estén informados y ello implica compartir información. El hecho de que sus propios compañeros conozcan dónde van a estar no supone una falta de seguridad ni un riesgo para la integridad física de los vigilantes, en primer lugar porque ellos no van a hacer un uso ilegítimo o ilegal de esa información, en segundo lugar, porque en esos centros existe seguridad suficiente para controlar asuntos mucho más graves que atentar contra la integridad física de un vigilante de seguridad. IX.- Asimismo, esta parte quiere remarcar que el uso de los datos tratados en estas comunicaciones está plenamente justificado, que no se han tratado datos más allá de los necesarios para desarrollar, gestionar y coordinar las funciones propias del puesto de trabajo y la relación laboral, ni se han utilizado para otros fines distintos que para los que se comunicaron, esto es gestionar la relación laboral. Sin embargo, no podemos decir lo mismo del denunciante, que sin ir más lejos ha utilizado el e-mail del coordinador Don B.B.B. para realizar comunicaciones que nada tenían que ver con la relación laboral, absolutamente fuera de contexto, totalmente fuera de tono rozando lo irracional e indiscutiblemente con carácter intimidatorio, etc. Se adjuntan los correos remitidos por esta persona al coordinador […] X.- En la misma línea al punto anterior, esta parte quiere subrayar que el denunciante hasta la fecha en la que fue despedido no se opuso ni hizo manifestación alguna sobre el hecho de que se utilizase su correo electrónico como canal de comunicación para organizar y coordinar el servicio, horarios, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 cursos, etc. Durante el año que estuvo aproximadamente en la empresa se quejó de muchas cosas, pero en ningún momento de que no quisiese que sus compañeros de trabajo dentro del ámbito de la empresa tuviesen la dirección electrónica que facilitó él mismo, o que supiesen su número de DNI, o de las horas que tenía pendiente, o del centro asignado. Todos y cada uno de los vigilantes de seguridad tienen firmado un acuerdo de confidencialidad que recoge el compromiso de que la información relativa a la empresa permanezca restringida a ese ámbito y hasta la fecha, no se ha producido ningún incidente al respecto. XI.- Asimismo a esta parte le parece importante pone sobre aviso al Inspector de este procedimiento, e investigue las verdaderas intenciones del denunciante, que nada tienen que ver con hacer cumplir la normativa de protección de datos, sino que su principal objetivo es castigar a una empresa por haber prescindido de sus servicios. El espíritu de la normativa sobre protección de datos es que el interesado tenga en todo momento el control de sus datos. En este caso, los datos personales de los trabajadores se han mantenido bajo estructura de Prosegur, sin que se hayan utilizado para una finalidad distinta que para la que se obtuvieron, siempre cumpliendo la normativa y las obligaciones de informar y solicitar el consentimiento, sin que se produzca ningún incidente. La normativa sobre protección de datos busca proteger al interesado para que no pierda el control de sus datos, para que las empresas no abusen de esa información para vender más ni se beneficien del hecho de conseguir información a cualquier precio prescindiendo absolutamente de la legalidad. La normativa sobre protección de datos vela para que se cumplan unas normas o unas formalidades con el fin de evitar que estas personas pierdan otros derechos íntimamente ligados a éste, como el derecho al honor, a la intimidad y a la propia imagen, que nada tienen que ver con el supuesto que nos ocupa. Puede que existan cuestiones que se puedan mejorar, pero el ánimo de esta ley y del órgano al que me dirijo no es favorecer el tipo de pretensiones que tiene el denunciante.” Aportan la siguiente documentación: copia de un correo electrónico remitido por el denunciante al coordinador el 10/04/2014 donde se presenta e indicaba que ese es su correo personal e intransferible. copia de las cláusulas adicionales del contrato de trabajo de los vigilantes, en el que se comprometen entre otras cuestiones a no revelar los datos de carácter personal de otros trabajadores. También se recoge su consentimiento para el tratamiento de sus datos personales. copia de los correos electrónicos remitidos por el denunciante al coordinador, y que los representantes de la entidad manifiestan ser de carácter intimidatorio. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 de Datos, conforme a lo establecido en el artículo 37.
Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.