1/6 Expediente Nº: E/04746/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad SECURITAS DIRECT ESPAÑA, S.A.U., en virtud de denuncia presentada por Don A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 18 de agosto de 2016, tuvo entrada en esta Agencia un escrito remitido por Don A.A.A., en el que denuncia que Securitas Direct España lleva a cabo la prestación del "SERVICIO DEL SISTEMA DE SEGUIMIENTO POR MEDIOS TELEMÁTICOS DE LAS MEDIDAS Y PENAS DE ALEJAMIENTO EN MATERIA DE VIOLENCIA DE GÉNERO". Todos los empleados que realizábamos las funciones de Auditor de Calidad de la CRA (Central Receptora de Alarmas) de SECURITAS DIRECT durante el año 2015, tuvimos acceso a información delicada relativa a la gestión de este servicio, nombres, direcciones, números de teléfono, localizaciones, etc. De forma sistemática, algunos de los Auditores de Calidad de la CRA de SECURITAS DIRECT se encargan de auditar incidencias tratadas por los operadores específicamente contratados para llevar a cabo el servicio descrito en el contrato adjudicado. Estos auditores tienen acceso a la información de las incidencias desde su propio puesto de trabajo (fuera de las instalaciones destinadas específicamente para ejecutar el servicio), exponiéndola a las personas de su alrededor y las que pudiesen pasar por la zona. Es posible que se esté produciendo una vulneración de los derechos de protección de datos de las víctimas de violencia de género, además del incumplimiento del Pliego de Prescripciones Técnicas del contrato para la prestación de este servicio. Y, entre otra, anexa la siguiente documentación: Tablas de datos con el nombre de auditores y nº de auditorías realizadas en los meses de junio, julio, agosto y septiembre de 2015. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. La entidad denunciada aporta contrato de prestación del servicio firmado entre SECURITAS DIRECT y TELEFÓNICA SOLUCIONES DE INFORMATICA Y COMUNICACIONES DE ESPAÑA S.A. (en adelante TELEFONICA SOLUCIONES) suscrito en fecha 8 de junio de 2014 cuyo título es “Acuerdo de Subcontratación del Servicio de Operación del servicio integral de seguimiento por medios telemáticos de las medidas de alejamiento en materia de violencia de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 género” como Anexo I. El contrato con un plazo de ejecución de un año, fue objeto de prórroga tácita que finalizó el 7 de junio de 2016. En el contrato se expone que: “con fecha 12 de mayo de 2014 la Secretaría de Estado de Servicios Sociales e Igualdad ha adjudicado a TELEFONICA SOLUCIONES la Prestación del Servicio del Sistema de seguimiento por medios telemáticos de las medidas de alejamiento en materia de violencia de género”. En la estipulación Cuarta de Entrada en vigor y duración del contrato se establece que: “el presente acuerdo entrará en vigor el 8/6/2014, y estará vigente y será vinculante para las partes en sus propio términos en tanto en cuanto se mantenga vigente el contrato administrativo principal suscrito entre TELEFONICA y la Secretaría de Estado de Servicios Sociales e Igualdad, de tal forma que la modificación, prórroga o terminación del contrato administrativo señalado, determinará igualmente la modificación, prórroga o terminación del presente contrato”. En la estipulación Décima relativa a la Ley Orgánica de Protección de Datos se indica lo siguiente: “Con fecha 7/6/2011 la Secretaría de Estado de Servicios Sociales e Igualdad autoriza a TELEFÓNICA, en tanto que adjudicataria del contrato para la Prestación del Servicio integral de seguimiento por medios telemáticos de las medidas de alejamiento en materia de violencia de género, al tratamiento del fichero de datos de carácter personal del sistema de seguimiento por medios telemáticos en el ámbito de la violencia de género, creado mediante Orden IDG/1702/20l0, de 15 de junio, y a que este se efectúe a través de la empresa SECURITAS DIRECT, como empresa subcontratada por TELEFÓNICA para la prestación del servicio, en los términos estipulados en este contrato. Es por ello que es necesario regular los términos y condiciones con arreglo a los cuales la empresa SECURITAS DIRECT realizará el tratamiento del fichero de datos de carácter personal del Sistema de Seguimiento por medios telemáticos en el ámbito de la violencia de género, aceptando las estipulaciones que figuran en el Anexo III del presente contrato”. 2. Se aporta como Anexo II documento, de fecha 11 de febrero de 2015, por el cual TELEFONICA SOLUCIONES confirma a SECURITAS DIRECT la comunicación a la Delegación del Gobierno de Violencia de Género de la Secretaría de Estado de Servicios Sociales e Igualdad, en su condición de titular del fichero de datos, del acceso al sistema y los datos por parte de los auditores internos desde puesto de trabajo fuera de la sala del centro de control Cometa, pero sí en otras dependencias del propio edificio de SECURITAS DIRECT. En el documento se identifica la figura del auditor interno y sus funciones de auditoría y supervisión del trabajo realizado por los operadores del centro de control. 3. Las medidas de seguridad implementadas por SECURITAS DIRECT para realizar el tratamiento de los datos personales objeto del servicio, así como las correspondientes auditorías citadas se reflejan en el Documento de Seguridad v.1.4 de 22/3/2015, aprobado el 18/3/2014 y revisado el 12/4/2016, aportado en el Anexo III. En este Anexo III se regula la actuación del personal de Securitas Direct en el tratamiento de los datos de carácter personal a los que accederán como consecuencia de la prestación de servicios que realizarán y deberán seguir las instrucciones del Ministerio de Sanidad, Servicios Sociales e Igualdad. Se indica C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 expresamente la obligación de confidencialidad e integridad; la adopción de medidas de seguridad de nivel alto, y la obligación de devolver la información al Ministerio mencionado, una vez cumplida la prestación de servicio. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El denunciante indica que los Auditores de Calidad de la CRA de SECURITAS DIRECT durante el año 2015, tuvieron acceso a información delicada relativa a la gestión de este servicio, nombres, direcciones, números de teléfono, localizaciones… de víctimas de violencia de género. Además, el acceso se produce fuera de las instalaciones destinadas específicamente para ejecutar el servicio. El artículo 12 de la LOPD “acceso a datos por cuenta de terceros”, establece lo siguiente: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto de tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”. El citado artículo 12.1 de la LOPD permite que el responsable del fichero habilite C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 el acceso a datos de carácter personal por parte de la entidad que va a prestarle un servicio –encargado del tratamiento- sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión de datos. La LOPD exige que el acceso a datos por cuenta de terceros figure reflejado en un contrato por escrito o en alguna otra forma que permita acreditar su celebración y contenido, y prevé unos contenidos mínimos, tales como seguir las instrucciones del responsable del tratamiento, no utilizar los datos para un fin distinto, no comunicarlos a otras personas, estipular las medidas de seguridad del artículo 9 y, cumplida la prestación, destruir los datos o proceder a su devolución al responsable del tratamiento. Por otro lado, el artículo 21 del Reglamento de desarrollo de la LOPD, Aprobado por Real Decreto 1720/2007, de 21 de diciembre, indica la posibilidad de subcontratación de los servicios, señalando lo siguiente: “1. El encargado del tratamiento no podrá subcontratar con un tercero la realización de ningún tratamiento que le hubiera encomendado el responsable del tratamiento, salvo que hubiera obtenido de éste autorización para ello. En este caso, la contratación se efectuará siempre en nombre y por cuenta del responsable del tratamiento. 2. No obstante lo dispuesto en el apartado anterior, será posible la subcontratación sin necesidad de autorización siempre y cuando se cumplan los siguientes requisitos:
- a)Que se especifiquen en el contrato los servicios que puedan ser objeto de subcontratación y, si ello fuera posible, la empresa con la que se vaya a subcontratar. Cuando no se identificase en el contrato la empresa con la que se vaya a subcontratar, será preciso que el encargado del tratamiento comunique al responsable los datos que la identifiquen antes de proceder a la subcontratación.
- b)Que el tratamiento de datos de carácter personal por parte del subcontratista se ajuste a las instrucciones del responsable del fichero.
- c)Que el encargado del tratamiento y la empresa subcontratista formalicen el contrato, en los términos previstos en el artículo anterior. En este caso, el subcontratista será considerado encargado del tratamiento, siéndole de aplicación lo previsto en el artículo 20.3 de este reglamento. 3. Si durante la prestación del servicio resultase necesario subcontratar una parte del mismo y dicha circunstancia no hubiera sido prevista en el contrato, deberán someterse al responsable del tratamiento los extremos señalados en el apartado anterior.” En el presente caso, ha quedado constatado que existe formalizado contrato de prestación de servicios del sistema de seguimiento por medios telemáticos de las medidas y penas de alejamiento en materia de violencia de género, entre el Ministerio de Sanidad, Servicios Sociales e Igualdad y Telefónica Soluciones; asimismo se autorizó la subcontratación con Securitas Direct. Con fecha 7 de junio de 2011, la Secretaría de Estado de Servicios Sociales e Igualdad autoriza a Telefónica, como adjudicataria del contrato para la Prestación del Servicio integral de seguimiento por medios telemáticos de las medidas de alejamiento en materia de violencia de género, al tratamiento del fichero de datos de carácter personal del sistema de seguimiento por medios telemáticos en el ámbito de la violencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 de género, y a que este se efectúe a través de la empresa SECURITAS DIRECT, como empresa subcontratada por TELEFÓNICA para la prestación del servicio, en los términos estipulados en ese contrato. La Secretaría de Estado de Servicios Sociales e Igualdad, en su condición de titular del fichero de datos, autorizó el acceso al sistema y a los datos por parte de los auditores internos en otras dependencias del propio edificio de SECURITAS DIRECT. Las medidas de seguridad implementadas por SECURITAS DIRECT para realizar el tratamiento de los datos personales objeto del servicio, así como las correspondientes auditorías citadas se reflejan en el Documento de Seguridad. En el Anexo referido a protección de datos, se regula la actuación del personal de Securitas Direct en el tratamiento de los datos de carácter personal a los que accederán como consecuencia de la prestación de servicios que realizarán y deberán seguir las instrucciones del Ministerio de Sanidad, Servicios Sociales e Igualdad. Se indica expresamente la obligación de confidencialidad e integridad; la adopción de medidas de seguridad de nivel alto, y la obligación de devolver la información al Ministerio mencionado, una vez cumplida la prestación de servicio. En consecuencia, no se ha producido vulneración de la normativa de protección de datos en relación con el tratamiento de los datos por parte de Securitas Direct, en nombre y por cuenta del Ministerio de Sanidad, Servicios Sociales e Igualdad. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a SECURITAS DIRECT ESPAÑA, S.A.U., y a Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es