1/15 Expediente Nº: E/05620/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad Eusko Trenbideak-Ferrocarriles Vascos, S.A., en virtud de denuncia presentada por D. A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 23/01/2013, tuvo entrada en esta Agencia Española de Protección de Datos un escrito presentado por D. A.A.A. (en lo sucesivo el denunciante), que formula denuncia contra la entidad Eusko Trenbideak-Ferrocarriles Vascos, S.A. (en lo sucesivo FERROCARRILES VASCOS), en la que presta servicios como empleado y es miembro del Comité de Empresa. El denunciante pone de manifiesto los siguientes hechos: Con ocasión de un proceso de selección de personal de la entidad Burdinbidearen Euskal Museoaren Fundazioa-Fundación Museo Vasco del Ferrocarril (en lo sucesivo Museo Vasco del Ferrocarril), organismo dependiente de FERROCARRILES VASCOS, se detectó la difusión no autorizada de información correspondiente al citado proceso, iniciándose una investigación que fue encomendada a una persona ajena a la compañía FERROCARRILES VASCOS, para verificar “los movimientos, actuaciones y utilización del correo electrónico” por parte de los trabajadores de la entidad, sin haber informado sobre ello a los afectados ni a los representantes sindicales. Añade que dicha información consta recogida en el “Acta de la Reunión del Patronato de la Fundación Museo Vasco del Ferrocarril celebrada el día 13 de marzo de 2012”. El denunciante manifiesta que solicitó a FERROCARRILES VASCOS información sobre los datos facilitados a la persona encargada de la investigación y sobre los tratamientos que pudieron realizarse, sin que dicha petición haya sido atendida por FERROCARRILES VASCOS. Por otra parte, señala que han tratado sus datos personales, en concreto los relativos a la dirección de correo electrónico en la empresa, y también su contenido, facilitándolos, además, a terceros. Considera el denunciante que esta falta de respuesta vulnera lo establecido en el artículo 15 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), de acuerdo con el apartado 2.
(89)2 del Consejo de Europa, en la que se establecen una serie de consideraciones en torno a las condiciones de tratamiento de los datos de los trabajadores en el ámbito de la relación laboral, estableciendo que solamente con el consentimiento del interesado o bien a partir de otras garantías previstas en el Derecho interno, podrían realizarse pruebas, análisis o procedimientos, destinados a evaluar el carácter o personalidad de una persona en el seno de dichas relaciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 Como hemos visto, nuestro derecho interno, a través del artículo 20.3 del Estatuto de los Trabajadores, ha previsto la posibilidad de que el empresario, en aras de vigilar el desarrollo de la actividad laboral, pueda ejercer las actividades de control que les sean propias, pero, como se ha manifestado, las mismas han de sujetarse a una serie de limitaciones, que garanticen asimismo, los derecho de los trabajadores. El Gabinete Jurídico de esta Agencia Española de Protección de Datos, a través del informe jurídico 0247/2008, siguiendo las recomendaciones antes vistas, que a nivel europeo realizó el Grupo de Berlín, reconocen la necesidad de una actividad informativa por parte del empresario de la posible actuación intrusiva de comprobación del empleo de las herramientas informáticas facilitadas a los trabajadores. Respecto de esta cuestión, cabe remitirse a lo expresado por la Sentencia de fecha 26 de septiembre de 2007 del Tribunal Supremo sobre el control empresarial del correo electrónico en los términos siguientes: <<FUNDAMENTO DE DERECHO PRIMERO:... La sentencia considera el despido procedente, apreciando el grave incumplimiento que se produce como consecuencia de la realización de esa actividad durante el tiempo de trabajo y en un instrumento proporcionado por la empresa, valorando, por una parte, la reducción del tiempo de trabajo y el injustificado gasto para la empresa, y, de otra, la perturbación de la disponibilidad del equipo informático en una materia tan grave como el aterrizaje y el despegue de aviones. La sentencia de contraste excluye la aplicación de las garantías del artículo 18 del Estatuto de los Trabajadores, porque el ordenador no es un efecto personal del trabajador, sino una "herramienta de trabajo" propiedad de la empresa. Es en este último punto en el que hay que plantear la contradicción, porque en el presente recurso no se trata de valorar la conducta del trabajador a efectos disciplinarios, sino de resolver un problema previo sobre el alcance y la forma del control empresarial sobre el uso por el trabajador del ordenador que se ha facilitado por la empresa como instrumento de trabajo y en este punto la identidad puede apreciarse en lo sustancial y las diferencias actuarían además reforzando la oposición de los pronunciamientos, porque en la sentencia recurrida el control se produce en el curso de una reparación, lo que no consta en la sentencia de contraste. Lo mismo sucede con el dato de que el ordenador en el caso de la sentencia recurrida no tuviera clave personal de acceso y en el de la de contraste sí. Hay que insistir en que no estamos ante el enjuiciamiento de una conducta a efectos disciplinarios desde la perspectiva del alcance de la protección de un derecho fundamental, como en el caso decidido por la sentencia de 20 de abril de 2.005, sino ante un problema previo sobre la determinación de los límites del control empresarial sobre un ámbito que, aunque vinculado al trabajo, puede afectar a la intimidad del trabajador. SEGUNDO:...La cuestión debatida se centra, por tanto, en determinar si las condiciones que el artículo 18 del Estatuto de los Trabajadores establece para el registro de la persona del trabajador, su taquilla y sus efectos personales se aplican también al control empresarial sobre el uso por parte del trabajador de los ordenadores facilitados por la empresa. Pero el problema es más amplio, porque, en realidad, lo que plantea el recurso, desde la perspectiva de ilicitud de la prueba obtenida vulnerando los derechos fundamentales (artículo 91.1 de la Ley de Procedimiento Laboral), es la compatibilidad de ese control empresarial con el derecho del trabajador a su intimidad personal (artículo 18.1 de la Constitución) o incluso con el derecho al secreto de las comunicaciones (artículo 18.3 de la Constitución Española), si se tratara del control del correo electrónico. El artículo 8 del Convenio Europeo para la Protección de los Derechos Humanos establece también que toda persona tiene derecho al respeto de la vida privada y familiar y prohíbe la injerencia que no esté prevista en la ley y que no se justifique por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 razones de segundad, bienestar económico, defensa del orden, prevención de las infracciones penales, protección de la salud, de la moral o de los derechos y libertades de los demás. El derecho a la intimidad, según la doctrina del Tribunal Constitucional, supone "la existencia de un ámbito propio y reservado frente a la acción y el conocimiento de los demás, necesario, según las pautas de nuestra cultura, para mantener una calidad mínima de la vida humana" y ese ámbito ha de respetarse también en el marco de las relaciones laborales, en las que "es factible en ocasiones acceder a informaciones atinentes a la vida íntima y familiar del trabajador que pueden ser lesivas para el derecho a la intimidad" (SSTC 142/1993, 98/2000 y 186/2000). De ahí que determinadas formas de control de la prestación de trabajo pueden resultar incompatibles con ese derecho, porque aunque no se trata de un derecho absoluto y puede ceder, por tanto, ante "intereses constitucionalmente relevantes", para ello es preciso que las limitaciones impuestas sean necesarias para lograr un fin legítimo y sean también proporcionadas para alcanzarlo y respetuosas con el contenido esencial del derecho. En el caso del uso por el trabajador de los medios informáticos facilitados por la empresa pueden producirse conflictos que afectan a la intimidad de los trabajadores, tanto en el correo electrónico, en el que la implicación se extiende también, como ya se ha dicho, al secreto de las comunicaciones, como en la denominada "navegación" por Internet y en el acceso a determinados archivos personales del ordenador. Estos conflictos surgen porque existe una utilización personalizada y no meramente laboral o profesional del medio facilitado por la empresa. Esa utilización personalizada se produce como consecuencia de las dificultades prácticas de establecer una prohibición absoluta del empleo personal del ordenador como sucede también con las conversaciones telefónicas en la empresa y de la generalización de una cierta tolerancia con un uso moderado de los medios de la empresa. Pero, al mismo tiempo, hay que tener en cuenta que se trata de medios que son propiedad de la empresa y que ésta facilita al trabajador para utilizarlos en el cumplimiento de la prestación laboral, por lo que esa utilización queda dentro del ámbito del poder de vigilancia del empresario, que, como precisa el artículo 20.3 del Estatuto de los Trabajadores, implica que éste "podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales", aunque ese control debe respetar "la consideración debida" a la "dignidad" del trabajador. TERCERO. Estas consideraciones muestran que el artículo 18 del ET no es aplicable al control por el empresario de los medios informáticos que se facilitan a los trabajadores para la ejecución de la prestación laboral. El artículo 18 del ET establece que "sólo podrán realizarse registros sobre la persona del trabajador, en sus taquillas y efectos particulares, cuando sean necesarios para la protección del patrimonio empresarial y del de los demás trabajadores de la empresa, dentro del centro de trabajo y en horas de trabajo", añadiendo que en la realización de estos registros "se respetará al máximo la dignidad e intimidad del trabajador y se contará con la asistencia de un representante legal de los trabajadores o, en su ausencia del centro de trabajo de otro trabajador de la empresa, siempre que ello fuera posible". El supuesto de hecho de la norma es completamente distinto del que se produce con el control de los medios informáticos en el trabajo. El artículo 18 está atribuyendo al empresario un control que excede del que deriva de su posición en el contrato de trabajo y que, por tanto, queda fuera del marco del artículo 20 del Estatuto de los Trabajadores. En los registros el empresario actúa, de forma exorbitante y excepcional, fuera del marco contractual de los poderes que le concede el artículo 20 del Estatuto de los Trabajadores y, en realidad, como ha señalado la doctrina científica, desempeña no sin problemas de cobertura una función de "policía privada" o de "policía empresarial" que la ley vincula a la defensa de su patrimonio o del patrimonio de otros trabajadores de la empresa. El régimen de registros del artículo 18 del Estatuto de los Trabajadores aparece así como una excepción al régimen ordinario que regula la Ley de Enjuiciamiento Criminal (artículo 545 y siguientes). Tanto la persona del trabajador, como sus efectos personales y la taquilla forman parte de la esfera privada de aquél y quedan fuera del ámbito de ejecución del contrato de trabajo al que se extienden los poderes del artículo 20 del Estatuto de los Trabajadores. Por el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 contrario, las medidas de control sobre los medios informáticos puestos a disposición de los trabajadores se encuentran, en principio, dentro del ámbito normal de esos poderes: el ordenador es un instrumento de producción del que es titular el empresario "como propietario o por otro título" y éste tiene, por tanto, facultades de control de la utilización, que incluyen lógicamente su examen. Por otra parte, con el ordenador se ejecuta la prestación de trabajo y, en consecuencia, el empresario puede verificar en él su correcto cumplimiento, lo que no sucede en los supuestos del artículo 18, pues incluso respecto a la taquilla, que es un bien mueble del empresario, hay una cesión de uso a favor del trabajador que delimita una utilización por éste que, aunque vinculada causalmente al contrato de trabajo, queda al margen de su ejecución y de los poderes empresariales del artículo 20 del Estatuto de los Trabajadores para entrar dentro de la esfera personal del trabajador. De ahí que los elementos que definen las garantías y los límites del artículo 18 del Estatuto de los Trabajadores, no sean aplicables al control de los medios informáticos. En primer lugar, la necesidad del control de esos medios no tiene que justificarse por "la protección del patrimonio empresarial y de los demás trabajadores de la empresa", porque la legitimidad de ese control deriva del carácter de instrumento de producción del objeto sobre el que recae. El empresario tiene que controlar el uso del ordenador, porque en él se cumple la prestación laboral y, por tanto, ha de comprobar sí su uso se ajusta a las finalidades que lo justifican, ya que en otro caso estaría retribuyendo como tiempo de trabajo el dedicado a actividades extralaborales. Tiene que controlar también los contenidos y resultados de esa prestación. Así, nuestra sentencia de 5 de diciembre de 2003, sobre el telemarketing telefónico, aceptó la legalidad de un control empresarial consistente en la audición y grabación aleatorias de las conversaciones telefónicas entre los trabajadores y los clientes «para corregir los defectos de técnica comercial y disponer lo necesario para ello", razonando que tal control tiene "como único objeto ...la actividad laboral del trabajador", pues el teléfono controlado se ha puesto a disposición de los trabajadores como herramienta de trabajo para que lleven a cabo sus funciones de "telemarketing" y los trabajadores conocen que ese teléfono lo tienen sólo para trabajar y conocen igualmente que puede ser intervenido por la empresa. El control de los ordenadores se justifica también por la necesidad de coordinar y garantizar la continuidad de la actividad laboral en los supuestos de ausencias de los trabajadores (pedidos, relaciones con clientes ..), por la protección del sistema informático de la empresa, que puede ser afectado negativamente por determinados usos, y por la prevención de responsabilidades que para la empresa pudieran derivar también algunas formas ilícitas de uso frente a terceros. En realidad, el control empresarial de un medio de trabajo no necesita, a diferencia de lo que sucede con los supuestos del artículo 18 del ET, una justificación específica caso por caso. Por el contrario, su legitimidad deriva directamente del artículo 20.3 del Estatuto de los Trabajadores. En segundo lugar, la exigencia de respetar en el control la dignidad humana del trabajador no es requisito específico de los registros del artículo 18, pues esta exigencia es general para todas las formas de control empresarial, como se advierte a partir de la propia redacción del artículo 20,3 del Estatuto de los Trabajadores. En todo caso, hay que aclarar que el hecho de que el trabajador no esté presente en el control no es en sí mismo un elemento que pueda considerarse contrario a su dignidad...CUARTO. El control del uso del ordenador facilitado al trabajador por el empresario no se regula por el artículo 18 del Estatuto de los Trabajadores, sino por el artículo 20.3 del Estatuto de los Trabajadores y a este precepto hay que estar con las matizaciones que a continuación han de realizarse. La primera se refiere a los límites de ese control y en esta materia el propio precepto citado remite a un ejercicio de las facultades de vigilancia y control que guarde "en su adopción y aplicación la consideración debida" a la dignidad del trabajador, lo que también remite al respeto a la intimidad en los términos a los que ya se ha hecho referencia al examinar las sentencias del Tribunal Constitucional 98 y 186/2000. En este punto es necesario recordar lo que ya se dijo sobre la existencia de un hábito social generalizado de tolerancia con ciertos usos personales moderados de los medios informáticos y de comunicación facilitados por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 la empresa a los trabajadores. Esa tolerancia crea una expectativa también general de confidencialidad en esos usos; expectativa que no puede ser desconocida, aunque tampoco puede convertirse en un impedimento permanente del control empresarial, porque , aunque el trabajador tiene derecho al respeto a su intimidad, no puede imponer ese respeto cuando utiliza un medio proporcionado por la empresa en contra de las instrucciones establecidas por esta para su uso y al margen de los controles previstos para esa utilización y para garantizar la permanencia del servicio. Por ello, lo que debe hacer la empresa de acuerdo con las exigencias de buena fe es establecer previamente las reglas de uso de esos medios con aplicación de prohibiciones absolutas o parciales e informar a los trabajadores de que va existir un control y de los medios que han de aplicarse en orden a comprobar la corrección de los usos, así como de las medidas que han de adoptar se en su caso para garantizar la efectiva utilización laboral del medio cuando sea preciso, sin perjuicio de la posible aplicación de otras medidas de carácter preventivo como la exclusión de determinadas conexiones. De esta manera si el medio se utiliza para usos privados en contra de estas prohibiciones y con conocimiento de los medios aplicables, no podrá entenderse que se ha vulnerado “una expectativa razonable de intimidad.” La segunda precisión o matización se refiere al alcance de la protección de la intimidad, que es compatible, con el control lícito que se ha hecho referencia. Es claro que las comunicaciones electrónicas y el correo electrónico están incluidos en este ámbito con la protección adicional que deriva de la garantía constitucional del secreto de las comunicaciones. La garantía de la intimidad también se extiende a los archivos personales del trabajador que se encuentran en el ordenador. La aplicación de la garantía podría ser más discutible en el presente caso, pues no se trata de comunicaciones, ni de archivos personales, sino de los denominados archivos temporales, que son copias que se guardan automáticamente en el disco duro de los lugares visitados a través de Internet. Se trata más bien de rastros o huellas de la "navegación" en Internet y no de informaciones de carácter personal que se guardan con carácter reservado. Pero hay que entender que estos archivos también entran, en principio, dentro de la protección de la intimidad, sin perjuicio de lo ya dicho sobre las advertencias de la empresa>>. Este fallo del Tribunal Supremo en síntesis prevé la posibilidad de que el empresario pueda acceder al control del ordenador, del correo electrónico y los accesos a Internet de los trabajadores, siempre que la empresa de “buena fe” haya establecido “previamente” las reglas de uso de esos medios con aplicación de prohibiciones absolutas o parciales e informado de que va existir un control y de los medios que han de aplicarse en orden a comprobar la corrección de los usos. Criterio que es ratificado y desarrollado por la Sentencia del Tribunal Constitucional, Sala Primera, de 11/02/2013, que establece la necesidad adicional a la información previa y expresa, precisa, clara e inequívoca a los trabajadores de la finalidad del control de la actividad laboral, de que la información concrete las características y el alcance del tratamiento de datos que va a realizarse. Sobre esta cuestión hay que tener en cuenta que el artículo 20.3 del Estatuto de los Trabajadores faculta al empresario para adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad humana y teniendo en cuenta la capacidad real de los trabajadores disminuidos, en su caso. Entre estas medidas se encuentra la posibilidad de que el empresario pueda acceder al control del correo electrónico corporativo de sus trabajadores por medio de los permisos correspondientes. El artículo 6.1 de la LOPD, que señala que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 cosa”. La legitimación prevista en el artículo 20.3 del ET permite el tratamiento de los datos de carácter personal sin necesidad del consentimiento inequívoco del afectado, según la excepción prevista en el artículo 6 de la LOPD, que, sin embargo, no exime al empleador de la obligación de informar de dicho tratamiento a los trabajadores. IV Esta necesidad de información es la misma que prevé el artículo 5 de la LOPD, que establece lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
- c)y
- d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban. (...)”. La obligación que impone este artículo 5 es, por tanto, la de informar al afectado en la recogida de datos, pues sólo así queda garantizado el derecho del mismo a tener una apropiada información y a consentir o no el tratamiento, en función de aquélla. Así, de acuerdo con lo establecido en el artículo 5 transcrito, la entidad denunciada debe informar a los interesados de los que recabe datos sobre los extremos establecidos en el aludido artículo 5.1. La información a la que se refiere el artículo 5.1 de la LOPD debe suministrarse a los afectados previamente a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. De lo expuesto cabe concluir que la vigente LOPD ha acentuado las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a éste, y de las finalidades para las que los datos pueden ser recabados y tratados. En el presente caso, consta acreditado, y reconocido por la propia entidad FERROCARRILES VASCOS, que el acceso realizado a su sistema de información para llevar a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 cabo los controles objeto de la denuncia, se realizó sin haber facilitado previamente la información previa a los trabajadores o a sus representantes sindicales que es requerida en estos supuestos, conforme a lo argumentado anteriormente, por lo que se concluye que dicha intervención, en las condiciones expresadas, supone una actividad infractora de la normativa en materia de protección de datos, por el incumplimiento del deber de informar establecido en el artículo 5 de la LOPD, al no proporcionar al denunciante la información legalmente prevista respecto de la utilización y las condiciones de acceso al registro de correos electrónicos. Se produce un incumplimiento el deber de información en el momento de la recogida de los datos, previsto en el artículo 5 de la LOPD, al no informar a los empleados sobre la utilización del correo electrónico y las posibilidades de acceso, tipificado como infracción leve en el artículo 44.2.
- c)de la LOPD, que considera como tal “El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado”. V La Ley 30/1992, de 26 de noviembre del Régimen Jurídico y del Procedimiento Administrativo Común (en adelante LRJPAC), que regula con carácter general el instituto de la prescripción, hace una remisión normativa a las leyes especiales por razón de la materia objeto de regulación. En este sentido, el artículo 132.1 dispone que “Las infracciones y sanciones prescribirán según lo dispuesto en las leyes que las establezcan”. En este sentido, la LOPD establece en el artículo 47 lo siguiente: “1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año. 2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido. 3. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor. 4. Las sanciones impuestas por faltas muy graves prescribirán a los tres años, las impuestas por faltas graves a los dos años y las impuestas por faltas leves al año. 5. El plazo de prescripción de las sanciones comenzará a contarse desde el día siguiente a aquel en que adquiera firmeza la resolución por la que se impone la sanción. 6. La prescripción se interrumpirá por la iniciación, con conocimiento del interesado, el procedimiento de ejecución, volviendo a transcurrir el plazo si el mismo está paralizado durante más de seis meses por causa no imputable al infractor”. Por otra parte, de conformidad con lo dispuesto en el apartado 3 del precepto antes citado, así como en el artículo 132.2 de la LRJPAC, el único modo de interrumpir el cómputo del plazo de prescripción es la iniciación, con conocimiento del interesado, del oportuno procedimiento sancionador. En este caso concreto, el control realizado en los sistemas de información de FERROCARRILES VASCOS, que ha dado lugar al incumplimiento del deber de información previa, tuvo lugar entre las fechas del 28/02/2012 (fecha de envío del correo electrónico por el denunciante) y el 13/03/2012 (fecha en la que se presenta el resultado de la investigación al Patronato de la Fundación Museo Vasco del Ferrocarril), por lo que la posible infracción denunciada, tipificada como leve, ha prescrito por el trascurso del plazo de un año desde el día C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 en que dicha infracción se hubiera cometido, de conformidad con lo dispuesto en el mencionado artículo 47.1 de la LOPD. Además, esta Agencia tuvo conocimiento de los hechos mediante la denuncia reseñada en el Antecedente Primero, que tuvo entrada en fecha 23/01/2013, casi once meses después de la comisión de la infracción, sin tiempo material para ordenar el trámite de la misma y llevar a cabo las oportunas actuaciones previas de investigación, de modo que no ha sido posible formalizar la incoación del procedimiento sancionador dentro de plazo establecido y por tanto, procede declarar la prescripción de la presunta infracción. VI El acceso al registro de correo electrónicos entrantes y salientes del día 28/02/2012, del servidor de correo de FERROCARRILES VASCOS se lleva a cabo por el representante de Edensys Consulting, S.L., con la que aquella entidad tiene suscrito un contrato de protección de datos, y con el propósito de investigar una posible difusión de información relativa a un proceso de selección de personal de la entidad Fundación Museo Vasco del Ferrocarril, cuya gestión está encomendada a FERROCARRILES VASCOS. El resultado de la investigación fue presentado ante el Patronato de la Fundación Museo Vasco del Ferrocarril, en reunión celebrada en fecha 13/03/2012, para que se adoptaran los acuerdos procedentes sobre los hechos y el desarrollo del proceso de selección de personal. En el Acta correspondiente a esta reunión se recogen los datos personales del denunciante relativos a nombre, apellido y su condición de delegado sindical. Conforme a lo establecido en el artículo 4 de la LOPD, los datos obtenidos, limitados a los datos de registro del correo electrónico remitido por el denunciante en fecha 28/02/2012, se consideran adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas y explícitas para la que fueron obtenidos, no siendo otro su objetivo que el constituir un elemento probatorio para la adopción de las medidas oportunas en relación con el proceso selectivo iniciado. De conformidad con la doctrina del Tribunal Constitucional, la constitucionalidad de cualquier medida restrictiva de derechos fundamentales viene determinada por la estricta observancia del principio de proporcionalidad. A los efectos que aquí importan, basta recordar que (como sintetizan las SSTC 66/1995, de 8 de mayo; 55/1996, de 28 de marzo; 207/1996, de 16 de diciembre y 37/1998, de 17 de febrero) para comprobar si una medida restrictiva de un derecho fundamental supera el juicio de proporcionalidad, es necesario constatar si cumple los tres requisitos o condiciones siguientes: si tal medida es susceptible de conseguir el objetivo propuesto (juicio de idoneidad); si, además, es necesaria, en el sentido de que no exista otra medida más moderada para la consecución de tal propósito con igual eficacia (juicio de necesidad); y, finalmente, si la misma es ponderada o equilibrada, por derivarse de ella más beneficios o ventajas para el interés general que perjuicios sobre otros bienes o valores en conflicto (juicio de proporcionalidad en sentido estricto). En primer lugar, se concluye que la medida adoptada por la entidad denunciada es adecuada. Resultaba idónea y necesaria, ya que se trataba de recabar exclusivamente pruebas sobre un hecho consumado a los efectos de los eventuales conflictos que se pudieran sustanciar, y es equilibrada, pues se limita a los datos concretos relevantes para la investigación pretendida. En definitiva, se cumplen los requisitos de finalidad y proporcionalidad exigidos por la actual normativa en materia de protección de datos. A la vista de lo expuesto, no cabe imputar infracción alguna distinta de la derivada del incumplimiento del deber de información, ya prescrita. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 VII Finalmente, los recurrentes se refieren a otras cuestiones que exceden el ámbito competencial de esta Agencia Española de Protección de Datos, que podrían estar relacionadas con los derechos que le otorga la Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen, los cuales pueden ser ejercitados ante la instancia jurisdiccional competente. La Agencia Española de Protección de Datos no es el órgano competente para dirimir controversias en materia de honor, intimidad personal y propia imagen por parte de los medios de comunicación y si se produce una extralimitación a la hora de informar de los hechos que hacen al caso, mediante el uso de sus datos personales. Se trata de una competencia que recae en los tribunales de justicia. La desvinculación del derecho a la protección de los datos personales y el derecho al honor ha sido, igualmente, analizada en diversas sentencias. Así, la Audiencia Nacional, en su sentencia de 24/02/2011, por la que resolvía el recurso planteado frente a una resolución de la Agencia Española de Protección de Datos por un ciudadano cuya profesión tiene una relevante exposición pública en los medios de comunicación, argumenta lo siguiente: “En este caso es necesario comenzar desvinculando la materia de protección de datos de la relativa al derecho al honor y ello pues para la protección de este derecho existe un procedimiento especifico de reclamación previsto en la Ley Orgánica 1/1982 de Protección Civil del Derecho al Honor, a la Intimidad Personal y Familiar y a la Propia Imagen cuyo artículo 1 establece que ‘El derecho fundamental al honor, a la intimidad personal y familiar y a la propia imagen, garantizado en el artículo 18 CE, será protegido civilmente frente a todo género de intromisiones ilegítimas, de acuerdo con lo establecido en la presente ley orgánica’. La LOPD se aplica en los supuestos en los que se hace necesario someter a determinados controles el empleo de los datos personales para evitar usos inconsentidos, excesivos o destinados a fines contrarios a los recogidos ó el tratamiento de los datos sin la información precisa etc. Todo esto se protege en un ámbito jurídico que es diferente a la divulgación de informaciones atentatorias a determinados derechos fundamentales como son el honor ó el derecho a la propia imagen. La separación de ambos sistemas de protección se aprecia, también, por el hecho de que los preceptos que se aplican en ambos casos son diferentes y, además, los procedimientos previstos para la reacción ante la violación de uno y otro ámbito del ordenamiento jurídico también son diferentes. En aquellos supuestos en los que se produce una colisión entre el derecho a la protección de datos y el derecho a la libertad de información contenido en el artículo 20 de la Constitución la prevalencia de la libertad de información resulta evidente siempre que se cumplan los requisitos de veracidad y relevancia pública que exige la jurisprudencia del Tribunal Constitucional según una jurisprudencia muy uniforme cuyos principios básicos se recogen en la STC 53/2006. Esta Sala, ya ha desvinculado protección de datos y derecho al honor en diversas sentencias (como la dictada en el recurso D.F. 2/2007) ó en la correspondiente al recurso 514/2007 donde se entendió que no hay que confundir tratamiento de datos con la exposición de opiniones (que en su caso pueden dar lugar a iniciar procedimientos por otras vías) y que había determinadas informaciones que, dado el innegable carácter público de las personas a las que afectaban procedían de fuentes accesibles al público y que no suponían tratamiento de datos: este es el caso del presente supuesto en el que la difusión internacional de la actividad profesional del ahora recurrente hace que sean conocidas las incidencias de su vida profesional y personal sin C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 que la divulgación de dichas incidencias pueda ser considerado tratamiento de datos (aunque pueda vulnerar otros derechos que deberán ser satisfechos, como hemos visto, por otras vías; fundamentalmente la relativa al derecho al honor).” Aplicando el criterio mantenido en la referida sentencia, en el supuesto planteado procede poner en conocimiento de los recurrentes que cualquier pronunciamiento acerca de una supuesta vulneración de su derecho al honor ha de ser realizada en la sede jurisdiccional que resulte competente. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a la entidad Eusko Trenbideak-Ferrocarriles Vascos, S.A. y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es