← España

E-04485-2014

1/15 Expediente Nº: E/04485/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad SANITAS S.A. DE SEGUROS en virtud de denuncia presentada por D. A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 5 de julio de 2013 tuvo entrada en esta Agencia escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que denuncia a la mercantil SANITAS S.A. DE SEGUROS (en lo sucesivo SANITAS) por el cual se procede a la apertura del expediente de investigación E/5881/2013 el cual finaliza con una resolución de Caducidad de fecha 25 de julio de 2014 y se procede a la apertura de las presentes actuaciones de investigación, E/04485/2014, en base a los siguientes hechos: Que la entidad SANITAS ha remitido a todos los trabajadores un correo electrónico en el que informa de la obligación de cumplimentar un formulario en el que se solicitan datos de terceros (familiares, amigos, etc.). El denunciante ha aportado, con el escrito de denuncia una copia de un correo electrónico, de fecha 17 de junio de 2013, donde la empresa informa del motivo por el cual se debe de cumplimentar el formulario denominado conflicto de interés. Asimismo ha aportado copia del formulario donde se informa nuevamente del motivo por el cual se debe de cumplimentar cuando el empleado cumple una serie de requisitos y se recogen los datos personales de familiares/vinculados (nombre y apellidos, parentesco, vinculación, Compañía y puesto de trabajo). SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. A estas actuaciones previas se ha incorporado, mediante diligencia, escrito de contestación de SANITAS, de fecha 30 de abril de 2014, en contestación a un requerimiento de información remitido por la Inspección de Datos en fecha 8 de abril. 2. Así mismo y con fecha 31 de julio de 2014 se remite un nuevo escrito de solicitud de información con objeto de ampliar la información remitida por SANITAS. De ambos escritos se concluye: 1.1. SANITAS manifiesta que es una entidad que comercializa seguros de salud y tiene implantado un sistema de Gobierno y Control Interno, entre cuyas funciones se incluye una Política de Conflicto de Intereses, que tiene por finalidad evitar posibles conflictos de interés que puedan afectar a la calidad y los servicios prestados por las compañías que pertenecen al Grupo Sanitas. Así la política define un marco para la identificación, control y seguimiento de los posibles conflictos de intereses e inexistencia de fraude con la finalidad de poder asegurar la integridad y reputación de las compañías. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 Dicho sistema de Gobierno y Control Interno tiene también como objetivo llevar a cabo una política de cumplimiento normativo, principalmente en lo relativo a las siguientes normas:  La prevención de posibles responsabilidades penales de las entidades que forman el Grupo Sanitas que puedan derivarse de acciones ejecutadas por sus empleados, tales como las previstas en el artículo 286 bis del Código Penal relativas a Corrupción entre Particulares, y los artículos 428 y siguientes del Código Penal relativo a Tráfico de Influencias.  La Ley 15/2007, de 3 julio, de Defensa de la Competencia y la Ley 3/1991, de 10 enero, de Competencia Desleal, dado que ambas normas prohíben que las empresas realicen actos que afecten a la competencia del mercado y lo distorsionen (como, por ejemplo, la realización de acuerdos colusorios entre competidores).  El propio Estatuto de los Trabajadores, que en su artículo 5 establece el que "los trabajadores tienen como deberes básicos: (...)

  1. a)Cumplir con las obligaciones concretas de su puesto de trabajo, de conformidad a las reglas de la buena fe y diligencia" así como el deber de
  2. nd)No concurrir con la actividad de la empresa, en los términos fijados en esta Ley". Por tanto, es exigible a los trabajadores el que desplieguen buena fe en el ejercicio de sus funciones (lo que necesariamente les obliga a evitar situaciones de conflicto de interés personales o de personas vinculadas) e incluso a evitar la concurrencia de intereses y actividades con la empresa.  Pero aún más, SANITAS, en su condición de entidad aseguradora está fuertemente regulada por numerosas normas nacionales y comunitarias del sector financiero y asegurador y sujeta al control de la Dirección General de Seguros y Fondos de Pensiones ("DGS"). Como tal entidad aseguradora, SANITAS debe cumplir con la normativa nacional y comunitaria sectorial, que le exige desplegar una gran cantidad de controles para cumplir con sus deberes de trasparencia e independencia y que exige que evite conflictos de interés. Entre otras diversas obligaciones destaca que SANITAS debe cumplir con la obligación legal establecida en el artículo 15 del Real Decreto Legislativo 6/2004, de 29 octubre, que aprueba el Texto refundido de la Ley de Ordenación y supervisión de los seguros privados (la "LOSSP"), que establece expresamente que "quienes, bajo cualquier título, lleven la dirección efectiva de la entidad aseguradora, o de una entidad cuya actividad principal consista en tener participaciones en entidades aseguradoras, serán personas físicas de reconocida honorabilidad y con las condiciones necesarias de cualificación o experiencia profesionales y se inscribirán (...)". Para el cumplimiento de esta obligación, el Real Decreto 2486/1998, de 20 de noviembre por el que se aprueba el Reglamento de Ordenación y Supervisión de los Seguros y la Orden Ministerial EHA/3241/2010, ambas en desarrollo del artículo 15 de la LOSSP, establecen la información que debe recabar SANITAS respecto de estos empleados para en su caso notificarla a la DGS, incluyendo en particular y de forma expresa C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 determinada información relativa a los vínculos personales y familiares de sus empleados. Así, por ejemplo, los apartados 2.2 y 2.3 del ANEXO II de la Orden Ministerial EHA/3241/2010 exige la siguiente información de los empleados que bajo cualquier título pueda llevar a cabo funciones de dirección: "2.2 Descripción de los vínculos o relaciones, financieras (créditos, garantías, pignoraciones) o no financieras (entre otras, relaciones familiares), con: Accionistas actuales de la entidad, cualquier persona que pueda ejercer el derecho de voto en la entidad aseguradora o reaseguradora, cualquier miembro del consejo de administración u órgano equivalente que realice funciones de alta dirección en la entidad, la propia entidad y el grupo al que pertenece. 2.3 Descripción de cualquier otro vínculo, interés, relación o actividad que pueda generar un conflicto de intereses con la entidad aseguradora, reaseguradora o el grupo al que pertenezca y, en este caso, las medidas a adoptar para la solución de dicho conflicto de intereses. SANITAS manifiesta que la normativa le exige controlar y evitar situaciones de conflicto de interés, y por tanto debe establecer políticas que le permitan conocer posibles situaciones de conflicto de interés en sus empleados, especialmente pero sin limitación, en aquellos que tengan responsabilidades directivas con independencia de su cargo o título formal 1.2. SANITAS manifiesta que para la gestión del sistema de Gobierno y Control Interno y la Política de Conflicto de Interés, se remite a los trabajadores una comunicación con enlace al Formulario de “Conflicto de Intereses” cuya cumplimentación es obligatoria en los casos en que se de alguno de los supuestos de conflicto de intereses expuesto, o bien voluntaria si no se tiene nada que declarar, tal y como se muestra en la Intranet de la compañía y que da acceso al Cuestionario. A este respecto SANITAS ha aportado impresión de pantalla de la Intranet de la compañía donde se recoge información sobre las “Políticas” de la compañía y el “Cuestionario de Conflicto de Interés” donde se informa del motivo y las condiciones para su cumplimentación. Esta información coincide con la información que se incluye en el correo electrónico remitido a los trabajadores, cuya copia ha sido aportada por el denunciante. 1.3. SANITAS ha aportado “Cuestionario de Conflicto de Interés” en el que se recogen los siguientes datos personales: Empleado, Puesto, Compañía, una serie de cuestiones relativas a conocimiento de incumplimientos en las que no se recaban datos personales de ningún tipo, así como una única cuestión relativa a posibles conflictos de intereses del empleado con algún miembro de su familia o parte vinculada en los que se de alguno de los supuestos expuestos, recabando en este caso los siguientes datos de ese tercero con el que podría existir ese posible conflicto de interés: Nombre y Apellido, Parentesco, Vinculación, Compañía, Categoría / Puesto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 Estos datos son recabados cuando el empleado declare que mantiene con un tercero una relación familiar u otro tipo de vínculo, encontrándose el tercero, entre otras, en alguna de las siguientes circunstancias que, por las funciones que desempeña el propio empleado y su relación con esa tercera persona vinculada, podría entrar en un conflicto de intereses:  Prestan o han prestado servicios profesionales como empleados con relación de empleo laboral para cualquier compañía del Grupo Sanitas o del Grupo BUPA.  Prestan o han prestado servicios profesionales como proveedor de bienes o servicios para alguna compañía competidora directa del Grupo Sanitas o del Grupo BU PA.  Prestan o han prestado servicios profesionales como proveedor de bienes o servicios para alguna Compañía del Grupo Sanitas o del Grupo BUPA.  Prestan o han prestado servicios con vinculación no laboral en alguno de los canales de venta de las Compañías del Grupo Sanitas o del Grupo BUPA (comprende; Agentes, promotores o corredores); asimismo se incluyen las personas que tengan relación laboral, u otro tipo de vinculación, con persona física o jurídica comprendida en este párrafo.  Prestan o han prestado servicios como empleados de alguna Compañía competidora directa de alguna compañía del Grupo Sanitas o del Grupo BUPA. En caso de que no se de alguna de estas circunstancias, no son recabados datos de terceros. SANITAS SA manifiesta que los datos de terceros son solicitados, y en su caso, recabados, con la finalidad de cumplir las políticas corporativas del sistema de Gobierno y Control Interno, que requiere la identificación y registro de aquellas circunstancias que puedan suponer un riesgo para la compañía. 1.4. El Cuestionario de Conflicto de Intereses en SANITAS ha sido cumplimentado por 205 personas, de los cuales tan sólo 34 cuestionarios llevaban datos de terceros. De estos 34 cuestionarios con datos de terceros, sólo 22 son de terceros que no son empleados de Sanitas. Los otros 12 se corresponden con empleados de Sanitas y están informados de la finalidad, objetivo del citado cuestionario y del destino de sus datos personales. 1.5. SANITAS SA manifiesta que la información exigida por el artículo 5 LOPD respecto del recabo y tratamiento de los datos personales que en cualquier momento nos facilite el empleado, entre ellos los recabados a través del cuestionario “Conflicto de Intereses”, es facilitada por SANITAS a sus empleados en el momento de la contratación, a través de una cláusula de protección de datos incluida en el contrato laboral y que establecen de forma expresa las finalidades, usos y tratamientos que se hará de los datos La compañía ha aportado copia de la “Cláusula de Confidencialidad de la Información y Autorización tratamiento Datos Personales” en la que figura: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 “Todos los datos personales que nos has suministrado y los que en el futuro nos proporciones, serán incorporados a ficheros de la Compañía para la gestión y cumplimiento de la relación contractual, gestión de los recursos humanos, envío de información relativa a la Compañía, así como el desarrollo de la actividad propia de la misma….” 1.6. Los posibles datos recabados son incorporados a un fichero físico, que forma parte integrante del fichero lógico titularidad de SANITAS relacionados con la gestión de Recursos Humanos, y que es accedido exclusivamente por el departamento de Riesgos y Cumplimiento Normativo de SANITAS cumpliendo las medidas de seguridad y directrices de seguridad exigidas normativamente y por las políticas corporativas de seguridad, encontrándose ubicado y almacenado el fichero en los sistemas informáticos de SANITAS . 1.7. SANITAS manifiesta que la finalidad de los datos recabados es su registro y control para el cumplimiento de las políticas corporativas y la gestión del cumplimiento normativo aplicable en SANITAS estando restringido su acceso al personal de SANITAS específicamente destinado al control del cumplimiento normativo, no siendo cedidos ni comunicados a ningún tercero, ni siquiera para su conservación. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
  3. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La LOPD en su artículo 3, define como: “
  4. c)Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias. El artículo 4, dispone: “1. Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido. 2. Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos. Por su parte, el artículo 5, establece el derecho de información en la recogida de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 datos, al prever: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
  5. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
  6. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
  7. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
  8. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
  9. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Y el artículo 6, establece que: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento.” III La Inspección de Datos ha llevado a cabo en el periodo de diligencias previas un requerimiento a la compañía SANITAS para que informe sobre aspectos como, la política de información a los trabajadores, sobre el cuestionario “conflicto de intereses”, motivos por los que se recaban datos de terceros y nº de formularios cumplimentados por los trabajadores de SANITAS. La compañía SANITAS ha informado y documentado que, como comercializadora de seguros de salud, tiene implantado un sistema de Gobierno y Control Interno entre cuyos objetivos incluye la implantación de una “Política de Conflicto de Intereses” con la finalidad de evitar posibles conflictos de interés que puedan afectar a la calidad y los servicios prestados por las compañías que pertenecen al Grupo Sanitas así como la prevención de posibles responsabilidades penales previstas en el Código Penal derivadas de acciones de sus empleados. SANITAS, además, alega que el sistema de Gobierno y Control Interno tiene también como objetivo llevar a cabo una política de cumplimiento normativo, principalmente en lo relativo a las siguientes normas que se relacionan en el epígrafe 1.1. del Hecho Segundo: • La prevención de posibles responsabilidades penales que puedan derivarse de acciones ejecutadas por sus empleados, tales como las previstas en el artículo 286 bis del Código Penal relativas a Corrupción entre Particulares, y los artículos 428 y siguientes del Código Penal relativo a Tráfico de Influencias. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 • La Ley 15/2007, de 3 julio, de Defensa de la Competencia y la Ley 3/1991, de 10 enero, de Competencia Desleal, que prohíben que las empresas realicen actos que afecten a la competencia del mercado y lo distorsionen (como, por ejemplo, la realización de acuerdos colusorios entre competidores). • El Estatuto de los Trabajadores, que en su artículo 5 establece el que "los trabajadores tienen como deberes básicos: (...)
  10. a)Cumplir con las obligaciones concretas de su puesto de trabajo, de conformidad a las reglas de la buena fe y diligencia" así como el deber de
  11. nd)No concurrir con la actividad de la empresa, en los términos fijados en esta Ley". Por tanto, es exigible a los trabajadores el que desplieguen buena fe en el ejercicio de sus funciones (lo que necesariamente les obliga a evitar situaciones de conflicto de interés personales o de personas vinculadas) e incluso a evitar la concurrencia de intereses y actividades con la empresa. • SANITAS, en su condición de entidad aseguradora está fuertemente regulada por numerosas normas nacionales y comunitarias del sector financiero y asegurador y sujeta al control de la Dirección General de Seguros y Fondos de Pensiones ("DGS"). Como tal entidad aseguradora, SANITAS debe cumplir con la normativa nacional y comunitaria sectorial, que le exige desplegar una gran cantidad de controles para cumplir con sus deberes de trasparencia e independencia y que exige que evite conflictos de interés. Entre otras diversas obligaciones destaca que SANITAS debe cumplir con la obligación legal establecida en el artículo 15 del Real Decreto Legislativo 6/2004, de 29 octubre, que aprueba el Texto refundido de la Ley de Ordenación y supervisión de los seguros privados (la "LOSSP"), que establece expresamente que "quienes, bajo cualquier título, lleven la dirección efectiva de la entidad aseguradora, o de una entidad cuya actividad principal consista en tener participaciones en entidades aseguradoras, serán personas físicas de reconocida honorabilidad y con las condiciones necesarias de cualificación o experiencia profesionales y se inscribirán (...)". Para el cumplimiento de esta obligación, el Real Decreto 2486/1998, de 20 de noviembre por el que se aprueba el Reglamento de Ordenación y Supervisión de los Seguros y la Orden Ministerial EHA/3241/2010, ambas en desarrollo del artículo 15 de la LOSSP, establecen la información que debe recabar SANITAS respecto de estos empleados para en su caso notificarla a la DGS, incluyendo en particular y de forma expresa determinada información relativa a los vínculos personales y familiares de sus empleados. Así, por ejemplo, los apartados 2.2 y 2.3 del ANEXO II de la Orden Ministerial EHA/3241/2010 exige la siguiente información de los empleados que bajo cualquier título pueda llevar a cabo funciones de dirección: "2.2 Descripción de los vínculos o relaciones, financieras (créditos, garantías, pignoraciones) o no financieras (entre otras, relaciones familiares), con: Accionistas actuales de la entidad, cualquier persona que pueda ejercer el derecho de voto en la entidad aseguradora o reaseguradora, cualquier miembro del consejo de administración u órgano equivalente que realice funciones de alta dirección en la entidad, la propia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 entidad y el grupo al que pertenece. 2.3 Descripción de cualquier otro vínculo, interés, relación o actividad que pueda generar un conflicto de intereses con la entidad aseguradora, reaseguradora o el grupo al que pertenezca y, en este caso, las medidas a adoptar para la solución de dicho conflicto de intereses. En definitiva SANITAS argumenta que la referida normativa le exige controlar y evitar situaciones de conflicto de interés y, por tanto debe establecer políticas que le permitan conocer posibles situaciones de conflicto de interés en sus empleados en general y especialmente pero sin limitación, en aquellos que tengan responsabilidades directivas con independencia de su cargo o título formal IV SANITAS informa que para el cumplimiento de dicho fines remitió a los trabajadores una “comunicación” en la se hace referencia a un enlace a través de la Intranet corporativa de la Compañía donde se recoge información sobre las “Políticas” y el “Cuestionario de Conflicto de Intereses” cuya cumplimentación es obligatoria en los casos en que se de alguno de los supuestos de conflicto de intereses o bien voluntaria si no se tiene nada que declarar. El “Cuestionario de Conflicto de Interés” recoge los siguientes datos personales del trabajador: empleado, puesto, compañía y una serie de cuestiones relativas a incumplimientos en que no recaba datos personales de ningún tipo, así como una única cuestión relativa a posibles “conflictos de intereses” del empleado con algún miembro de su familia o parte vinculada en los que se de alguno de los supuestos que se relacionan ( a continuación) , recabando en este caso los siguientes datos de ese tercero con el que podría existir ese posible conflicto de interés: Nombre y Apellido, Parentesco, Vinculación, Compañía, Categoría / Puesto. Estos últimos datos son recabados cuando el empleado declara, a su iniciativa y criterio, que mantiene con un tercero una relación familiar u otro tipo de vínculo, encontrándose el tercero, entre otras, en alguna de las siguientes circunstancias que, por las funciones que desempeña el propio empleado y su relación con esa tercera persona vinculada, podría entrar en un conflicto de intereses:  Prestan o han prestado servicios profesionales como empleados con relación de empleo laboral para cualquier compañía del Grupo Sanitas o del Grupo BUPA.  Prestan o han prestado servicios profesionales como proveedor de bienes o servicios para alguna compañía competidora directa del Grupo Sanitas o del Grupo BU PA.  Prestan o han prestado servicios profesionales como proveedor de bienes o servicios para alguna Compañía del Grupo Sanitas o del Grupo BUPA.  Prestan o han prestado servicios con vinculación no laboral en alguno de los canales de venta de las Compañías del Grupo Sanitas o del Grupo BUPA (comprende; Agentes, promotores o corredores); asimismo se incluyen las personas que tengan relación laboral, u otro tipo de vinculación, con persona C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 física o jurídica comprendida en este párrafo.  Prestan o han prestado servicios como empleados de alguna Compañía competidora directa de alguna compañía del Grupo Sanitas o del Grupo BUPA. Y en caso de que no se de alguna de estas circunstancias, no son recabados datos de terceros. Es decir, SANITAS como parte del sistema de Gobierno y Control tiene implantado una “Política de conflicto de Intereses” para los trabajadores en la que el trabajador si estima y a su valoración se encuentra con algún familiar o parte vinculada en algún/nos de los supuestos relacionados de conflicto de intereses le obliga a declararlo mediante un formulario que recogen los siguientes datos de terceros: Nombre y Apellido, Parentesco, Vinculación, Compañía, Categoría / Puesto. Y en el caso, de que el trabajador considere que no se encuentra incurso en ningún supuesto de conflicto la declaración es voluntaria, es decir, con el consentimiento del trabajador. Pues bien, la política de conflicto de intereses implantada por SANITAS a sus trabajadores consistente en declarar datos de terceros vinculados familiarmente o por otro vinculo ante una posible existencia de un conflicto de intereses con la empresa, se estima tiene amparo en el conjunto de mutuas obligaciones y derechos dimanantes entre la empresa, en este caso SANITAS, y el trabajador surgidas de la relación profesional. El Estatuto de los Trabajadores -ET- en su artículo 5 establece que : "Los trabajadores tienen como deberes básicos: (...)
  12. a)Cumplir con las obligaciones concretas de su puesto de trabajo, de conformidad a las reglas de la buena fe y diligencia" así como el deber de
  13. nd)No concurrir con la actividad de la empresa, en los términos fijados en esta Ley".. Y el ET en su artículo 20 “Dirección y Control de la actividad laboral”, prevé: “2. En el cumplimiento de la obligación de trabajar asumida en el contrato, el trabajador debe al empresario la diligencia y la colaboración en el trabajo que marquen las disposiciones legales, los convenios colectivos y las órdenes o instrucciones adoptadas por aquél en el ejercicio regular de sus facultades de dirección y, en su defecto, por los usos y costumbres. En cualquier caso, el trabajador y el empresario se someterán en sus prestaciones recíprocas a las exigencias de la buena fe. 3. El empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad humana y teniendo en cuenta la capacidad real de los trabajadores disminuidos, en su caso”. Dichas previsiones otorgan al empresario la posibilidad del establecimiento informado y proporcionado de políticas en la empresa que prevengan posibles conflictos de intereses con los trabajadores que redunden en la posibilidad de un daño económico para aquél y en virtud de la relación laboral existente le habilita para que implemente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 medidas y sistemas que el trabajador, que, a su juicio, considere que concurre un posible conflicto de intereses con algún familiar, debe proporcionar los datos del tercero como el : Nombre y Apellido, Parentesco, Vinculación, Compañía, Categoría / Puesto. Y los referidos datos se consideran “proporcionales” para el fin que se recaban la posibilidad de concurrencia de un conflicto de intereses del trabajador con los de un familiar en SANITAS o empresa dependiente, suministrados voluntariamente y sin que, por otro lado, conste que trasciendan fuera del ámbito de la empresa SANITAS ni que han sido utilizados para una finalidad diferente que para la que se recabaron. V Sentado que el empresario pude tratar los datos de los trabajadores en base al artículo 6.2 de la LOPD “ relación laboral” y al E.T, respecto a los datos recabados de los “terceros”, no empleados, debe subrayarse que la jurisprudencia y normativa admiten el tratamiento sin consentimiento y sin que los datos provengan de fuentes de acceso público en los supuestos en que sea necesario para satisfacer un “interés legítimo” del responsable de los datos y del cesionario si este prevalece sobre los derechos fundamentales del interesado. El artículo 10 del RLOPD, establece: “. No obstante, será posible el tratamiento o la cesión de los datos de carácter personal sin necesidad del consentimiento del interesado cuando:
  14. a)Lo autorice una norma con rango de ley o una norma de derecho comunitario y, en particular, cuando concurra uno de los supuestos siguientes: El tratamiento o la cesión tengan por objeto la satisfacción de un interés legítimo del responsable del tratamiento o del cesionario amparado por dichas normas, siempre que no prevalezca el interés o los derechos y libertades fundamentales de los interesados previstos en el artículo 1 de la Ley Orgánica 15/1999, de 13 de diciembre” Respecto al “interés legítimo” la Sentencia de la Audiencia Nacional, por todas, la de 31-5-2012, recoge: “TERCERO. Empezando por el segundo de los motivos de la demanda resulta que el artículo 6 de la LOPD tras indicar, con carácter general que: El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. Añade a continuación que: 2. No será preciso el consentimiento cuando los datos de carácter personal (…) figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. Pronunciándose en similares términos el artículo 10.2.
  15. b)del RD 1720/2007, de 21 de diciembre, de desarrollo de la LOPD. Tal y como hemos razonado en nuestra SAN de 15 de marzo de 2012 (Rec. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 390/2010) deviene esencial relacionar la mencionada excepción a la prestación del consentimiento prevista en el artículo 6.2 LOPD (y 10.2.
  16. b)del RD 1720/2007) con lo dispuesto en el artículo 7 de la Directiva 95/46, de 24 de octubre de 1995, relativa a la protección de datos personales. Y ambos con la interpretación que del apartado
  17. f)del mencionado artículo 7 ha llevado a cabo la sentencia del Tribunal de Justicia de las Comunidades Europeas de 24 de noviembre de 2011. Y ello dado que determina el artículo 7 de la mencionada Directiva 95/46, de 24 de octubre, lo siguiente: Los Estados miembros dispondrán que el tratamiento de datos personales sólo pueda efectuarse si: (…)
  18. f)es necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, siempre que no prevalezca el interés o los derechos y libertades fundamentales del interesado que requieran protección con arreglo al apartado 1 del Art. 1 de la presente Directiva.: en particular, del derecho a la intimidad, en lo que respecta al tratamiento de los datos personales. Desprendiéndose, por tanto, de la comparación entre los preceptos mencionados ( el articulo 6.2 LOPD por un lado y el articulo 7.
  19. f)de la Directiva 95/46,por otro) una importante conclusión: que tal excepción a la prestación del consentimiento en los supuestos en que los datos personales provengan de fuentes accesibles al público (que son las previstas en el articulo 3.
  20. f)de la LOPD) se contiene en nuestra normativa interna de protección de datos, más sin que se encuentre prevista, como excepción a la prestación del consentimiento, en la normativa comunitaria de aplicación. El Tribunal Supremo, en los recursos planteados frente a determinados preceptos del RD 1720/2007, de 21 de diciembre, se cuestionó la adecuación o no al derecho comunitario del mencionado artículo 10.2.
  21. b)del RD 1720/2007, de 21 de diciembre, por lo que planteó una cuestión prejudicial respecto de su interpretación. Cuestión en la que el Tribunal de Justicia de la Unión Europea ha dictado sentencia con fecha de 24 de noviembre de 2011, que contiene los siguientes pronunciamientos: 1. Se opone al artículo 7.
  22. f)de la Directiva 95/46 la normativa nacional que, para permitir el tratamiento de datos, sin consentimiento, y necesario para la satisfacción de un interés legítimo (del responsable o del cesionario) exige que se respeten los derechos y libertades del interesado, y además que dichos datos figuren en fuentes accesibles al público, excluyendo de forma categórica y generalizada todo tratamiento que no figure en dichas fuentes. 2. El artículo 7.
  23. f)de la Directiva 95/46 tiene efecto directo. Dado que en la presente controversia se impone la sanción, precisamente, porque se condiciona la necesidad de consentimiento de los titulares de los datos personales (direcciones de correo electrónico), al hecho de que dichos datos no provienen de una fuente de acceso público, considera esta Sala que tal interpretación, conforme a la doctrina comunitaria expuesta, y sin mayores matizaciones, no puede ya sostenerse. Y ello porque conforme a la repetida Sentencia del Tribunal de Justicia de la Unión C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 Europea, el que los datos figuren en fuentes accesibles al público no es un criterio válido para excluir la necesidad de consentimiento del titular de los mismos, sino que el deben ponderarse dos elementos fundamentales: Si el tratamiento de los datos es necesario para satisfacer un interés legítimo (del responsable de los datos o del cesionario), y si han de prevalecer o no los derechos fundamentales del interesado, esencialmente referidos a su derecho a la protección de datos personales. Ponderación de intereses en conflicto que dependerá de las circunstancias concretas de cada caso y en la que no obstante, sí puede tomarse en consideración, a efectos de determinar la posible lesión de los derechos fundamentales del afectado, el hecho de que los datos figuren ya, o no, en fuentes accesibles al público. Más ello, simplemente, como un elemento más de ponderación. Es posible, en definitiva, y conforme a dicha Jurisprudencia comunitaria, que existan tratamientos de datos personales que no figuren en una de las que nuestra legislación interna denomina "fuentes de acceso público" (artículo 3.
  24. f)LOPD y articulo 7 RLOPD) pero que, sin embargo, no requieran el consentimiento de los titulares de tales datos porque su tratamiento sea necesario para satisfacer un interés legítimo del responsable de los mismos, o del cesionario, siempre que se respeten los derechos y libertades del interesado.” Por otra parte, resulta de relevancia a los efectos expuestos que el nuevo Código Penal aprobado por la Ley Orgánica 1/2015, de 30 de marzo, por la que se modifica la Ley Orgánica 10/1995, de 23 de noviembre, atribuye responsabilidad a las personas jurídicas en su artículo 31 bis: «1. En los supuestos previstos en este Código, las personas jurídicas serán penalmente responsables:
  25. a)De los delitos cometidos en nombre o por cuenta de las mismas, y en su beneficio directo o indirecto, por sus representantes legales o por aquellos que actuando individualmente o como integrantes de un órgano de la persona jurídica, están autorizados para tomar decisiones en nombre de la persona jurídica u ostentan facultades de organización y control dentro de la misma. b)De los delitos cometidos, en el ejercicio de actividades sociales y por cuenta y en beneficio directo o indirecto de las mismas, por quienes, estando sometidos a la autoridad de las personas físicas mencionadas en el párrafo anterior, han podido realizar los hechos por haberse incumplido gravemente por aquéllos los deberes de supervisión, vigilancia y control de su actividad atendidas las concretas circunstancias del caso. 2. Si el delito fuere cometido por las personas indicadas en la letra
  26. a)del apartado anterior, la persona jurídica quedará exenta de responsabilidad si se cumplen las siguientes condiciones: 1.ª el órgano de administración ha adoptado y ejecutado con eficacia, antes de la comisión del delito, modelos de organización y gestión que incluyen las medidas de vigilancia y control idóneas para prevenir delitos de la misma naturaleza o para reducir de forma significativa el riesgo de su comisión; C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 2.ª la supervisión del funcionamiento y del cumplimiento del modelo de prevención implantado ha sido confiada a un órgano de la persona jurídica con poderes autónomos de iniciativa y de control o que tenga encomendada legalmente la función de supervisar la eficacia de los controles internos de la persona jurídica; 3.ª los autores individuales han cometido el delito eludiendo fraudulentamente los modelos de organización y de prevención y 4.ª no se ha producido una omisión o un ejercicio insuficiente de sus funciones de supervisión, vigilancia y control por parte del órgano al que se refiere la condición 2.ª En los casos en los que las anteriores circunstancias solamente puedan ser objeto de acreditación parcial, esta circunstancia será valorada a los efectos de atenuación de la pena. 3. En las personas jurídicas de pequeñas dimensiones, las funciones de supervisión a que se refiere la condición 2.ª del apartado 2 podrán ser asumidas directamente por el órgano de administración. A estos efectos, son personas jurídicas de pequeñas dimensiones aquéllas que, según la legislación aplicable, estén autorizadas a presentar cuenta de pérdidas y ganancias abreviada. 4. Si el delito fuera cometido por las personas indicadas en la letra
  27. b)del apartado 1, la persona jurídica quedará exenta de responsabilidad si, antes de la comisión del delito, ha adoptado y ejecutado eficazmente un modelo de organización y gestión que resulte adecuado para prevenir delitos de la naturaleza del que fue cometido o para reducir de forma significativa el riesgo de su comisión. En este caso resultará igualmente aplicable la atenuación prevista en el párrafo segundo del apartado 2 de este artículo. 5 .Los modelos de organización y gestión a que se refieren la condición 1.ª del apartado 2 y el apartado anterior deberán cumplir los siguientes requisitos: 1.º Identificarán las actividades en cuyo ámbito puedan ser cometidos los delitos que deben ser prevenidos. 2.ºEstablecerán los protocolos o procedimientos que concreten el proceso de formación de la voluntad de la persona jurídica, de adopción de decisiones y de ejecución de las mismas con relación a aquéllos. 3.ºDispondrán de modelos de gestión de los recursos financieros adecuados para impedir la comisión de los delitos que deben ser prevenidos. 4.º Impondrán la obligación de informar de posibles riesgos e incumplimientos al organismo encargado de vigilar el funcionamiento y observancia del modelo de prevención. 5.ºEstablecerán un sistema disciplinario que sancione adecuadamente el incumplimiento de las medidas que establezca el modelo. 6.ºRealizarán una verificación periódica del modelo y de su eventual modificación cuando se pongan de manifiesto infracciones relevantes de sus disposiciones, o cuando se produzcan cambios en la organización, en la estructura de control o en la actividad desarrollada que los hagan necesarios.» La información suministrada mediante el formulario analizado puede ser relevante a los efectos de evitar delitos de Corrupción entre particulares (artº 286 bis del Código Penal); Trafico de Influencias (artº 428 y ss. del C.P.) o Administración Desleal ( artº 295 del C.P). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 En el presente caso, la legitimación del tratamiento de los datos de los terceros viene dada por la concurrencia de un “interés legítimo” de la compañía SANITAS que prevalece al ponderar dicho interés y los derechos de los terceros, siendo parámetros a valorar para dicha ponderación los siguientes:
  28. a)que los datos tratados de los terceros son “proporcionales” para el fin para el que se recaban, esto es, la posibilidad de un conflicto de intereses del trabajador con un familiar en SANITAS o en empresa dependiente (juicio de proporcionalidad);
  29. b)que la compañía SANITAS ha aportado impresión de pantalla de la Intranet de la compañía donde se recoge información sobre las “Políticas” de la compañía y el “Cuestionario de Conflicto de Interés” donde se informa del motivo y las condiciones para su cumplimentación ( principio de información) ;
  30. c)que el tratamiento de los datos de los terceros están limitados a la “finalidad” para la que se recaba, esto es prevenir un conflicto de intereses sin que conste sean utilizados para una distinta ( principio de finalidad) y;
  31. d)que no consta que trasciendan fuera del ámbito de la empresa. Debe significarse que el “Cuestionario de Conflicto de Intereses” ha sido cumplimentado por 205 personas, de los cuales tan sólo 34 cuestionarios llevaban datos de terceros y de estos 34 cuestionarios con datos de terceros, sólo 22 son de terceros que no son empleados de Sanitas y los otros 12 se corresponden con empleados de Sanitas y están informados de la finalidad, objetivo del citado cuestionario y del destino de sus datos personales. Circunstancias numéricas que abundan en la voluntariedad de la extensión del certificado entre el numeroso personal de SANITAS además de no existir indicio de que se empleé para finalidad distinta de la prevista. VI Respecto al derecho de información a los trabajadores sobre el tratamiento de los datos que facilita el empleado de la compañía, SANITAS ha aportado copia de una Cláusula del siguiente tenor: Cláusula de Confidencialidad de la Información y Autorización tratamiento Datos Personales” en la que figura: “Todos los datos personales que nos has suministrado y los que en el futuro nos proporciones, serán incorporados a ficheros de la Compañía para la gestión y cumplimiento de la relación contractual, gestión de los recursos humanos, envío de información relativa a la Compañía, así como el desarrollo de la actividad propia de la misma….” Y los datos recabados son incorporados a un fichero de SANITAS relacionados con la gestión de Recursos Humanos al que accede exclusivamente por el departamento de Riesgos y Cumplimiento Normativo de SANITAS, cumpliendo las medidas de seguridad y directrices de seguridad exigidas normativamente y por las políticas corporativas de seguridad, encontrándose ubicado y almacenado el fichero en los sistemas informáticos de la misma. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a SANITAS S.A. DE SEGUROS y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.