1/5 Expediente Nº: E/03736/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad SWISSPORT HANDLING, S.A., en virtud de denuncia presentada por Doña C.C.C., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 20 de mayo de 2017, tuvo entrada en esta Agencia un escrito remitido por Doña C.C.C. en el que expone lo siguiente: A.A.A., como encargada de la entidad SWISSPORT HANDLING, S.A., hace uso y publica información médica de la denunciante mediante correos electrónicos e impresión de sus e-mails, a otros trabajadores. Acompaña la siguiente documentación: Copia de los e-mails remitidos por la denunciante a la denunciada comunicando su situación de enfermedad, junto con un justificante de asistencia a consulta médica. Copia de los correos remitidos por la denunciada a otros trabajadores, donde informa de esta situación. Copia de un correo donde se adjunta el parte de Baja remitido a B.B.B.. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:
- Con fecha 19 de julio de 2017, se recibe escrito de SWISSPORT HANDLING, S.A., en el que pone de manifiesto que: a. La entidad tiene establecido un “Procedimiento IT”, el cual consiste en comunicar la situación de enfermedad al personal del Departamento de Recursos Humanos de las distintas bases de los aeropuertos en los que SWISSPORT tiene presencia, entre los que se encuentra el de ***LOC.
- En dicho procedimiento se informa cómo proceder con las notificaciones de IT de los trabajadores. b. A efectos organizativos de los turnos del personal, la Sra. F.F.F. (Supervisora directa de la denunciante), tuvo que informar al Delegado de SWISSPORT en el aeropuerto ( E.E.E., posteriormente sustituido por D.D.D.), a los Jefes de Servicio (VLC Dutymanager) y a los supervisores (VLC Pax), de la ausencia de la empleada, a los efectos de reorganizar los turnos de trabajo en los que estaba prevista la participación de la misma, para que pudieran cubrir sus ausencia. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 c. No existe constancia de que en estos correos electrónicos remitidos por la Sra. F.F.F. se incorporase información sobre datos de salud de la denunciante. d. En el momento de la contratación, todos los trabajadores son informados, entre otros, del Procedimiento establecido para la comunicación de las bajas. En el caso del Aeropuerto de ***LOC.1 la persona destinataria de la información es B.B.B.. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III La denunciante señala que una empleada de la entidad SWISSPORT HANDLING, S.A., en ***LOC.1, usa y publica su información médica, imprimiendo los correos que ella envía y facilitándolos a otros trabajadores e incluso a pasajeros del aeropuerto de ***LOC.1, donde trabaja. El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Este deber de secreto comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30/11, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 y por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. Pues bien, la entidad denunciada ha aclarado que SWISSPORT tiene establecido un procedimiento de comunicación a los responsables de la información relativa a las bajas o enfermedades de los empleados. En ese marco, la denunciante informó a su supervisora directa de los días en los que no acudiría al trabajo por enfermedad; y la supervisora informó de ello al resto del personal que debía conocerlo para modificar los turnos de trabajo. IV En cuanto al hecho denunciado referente a que la Sra. F.F.F. imprimía los correos con los justificantes médicos de las ausencias y los mostraba a otros compañeros e incluso a pasajeros del aeropuerto de ***LOC.1 hay que señalar que al Derecho administrativo sancionador le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad de los principios de presunción de inocencia e “in dubio pro reo” en el ámbito de la potestad sancionadora, que desplazan a quien acusa la carga de probar los hechos y su autoría. La presunción de inocencia debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, pues el ejercicio del “ius puniendi”, en sus diversas manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el Tribunal Constitucional, en su Sentencia 76/1990, de 26 de abril, considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”. Asimismo, el mismo Tribunal Constitucional, en Sentencia 44/1989, de 20 de febrero, indica que “Nuestra doctrina y jurisprudencia penal han venido sosteniendo que, aunque ambos puedan considerarse como manifestaciones de un genérico favor rei, existe una diferencia sustancial entre el derecho a la presunción de inocencia, que desenvuelve su eficacia cuando existe una falta absoluta de pruebas o cuando las practicadas no reúnen las garantías procesales y el principio jurisprudencial in dubio pro reo que pertenece al momento de la valoración o apreciación probatoria, y que ha de juzgar cuando, concurrente aquella actividad probatoria indispensable, exista una duda racional sobre la real concurrencia de los elementos objetivos y subjetivos que integran el tipo penal de que se trate”. En definitiva, aquellos principios impiden imputar una infracción administrativa cuando no se haya practicado una mínima prueba de cargo acreditativa de los hechos que motivan esta imputación o de la intervención en los mismos del presunto infractor, aplicando el principio “in dubio pro reo” en caso de duda respecto de un hecho concreto y determinante, que obliga en todo caso a resolver dicha duda del modo más favorable al interesado. En atención a lo expuesto, teniendo en cuenta que en el presente caso se observa una falta de acreditación en los hechos atribuidos a la Sra. A.A.A. en cuanto a la impresión y posterior divulgación de documentación médica de la denunciante a compañeros de la empresa e incluso pasajeros del aeropuerto de ***LOC.1, debe concluirse que no existe prueba de cargo suficiente contra la citada entidad y su trabajadora, por lo que procede acordar el archivo del presente expediente de actuaciones previas. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a SWISSPORT HANDLING, S.A., y a Doña C.C.C.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo ContenciosoC/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es