1/9 Expediente Nº: E/05680/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante Don A.A.A., en virtud de denuncia presentada por Doña B.B.B., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 26 de agosto de 2015, tuvo entrada en esta Agencia un escrito remitido por Doña B.B.B., en el que, como ex trabajadora de la entidad ***NOMBRE.1, denuncia la existencia de diferentes irregularidades en la recogida y tratamiento de los datos de los clientes, así como irregularidades en la recogida e información de imágenes del sistema de video vigilancia instalado en los locales de la peluquería. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fecha 14 de abril de 2016, se realiza inspección en los locales de la empresa ***NOMBRE.1, poniéndose de manifiesto los siguientes hechos: C/ Jorge Juan, 6 28001 – Madrid 1.1 ***NOMBRE.1 (en adelante la Peluquería), es una empresa dedicada al sector de la peluquería, ofreciendo también estudio de problemas del cabello, de dicho estudio no se guardan fotografías ni datos que no sean estrictamente los derivados del estudio del cabello. 1.2 La Peluquería cuenta con un total de 5 trabajadores y el Director, todos ellos cuentan con un Documento de confidencialidad, en el que se comprometen a tratar los datos personales a los que tienen acceso, de acuerdo con lo establecido en la Ley Orgánica de Protección de Datos. 1.3 La Peluquería es responsable de varios ficheros, entre los que se encuentra el fichero de CLIENTES y el de VIDEOVIGILANCIA, cuya inscripción en el Registro General de Protección de Datos ha sido solicitada en fechas recientes. 1.4 Con relación al fichero de CLIENTES, los datos que se incluyen son: Datos identificativos, nombre y apellido, en algunos casos número de teléfono y en algunos casos dirección postal y servicios realizados al mismo y las fechas en las que se realizaron. 1.5 A dicho fichero solo se puede acceder desde un ordenador que se encuentra ubicado en la recepción de La Peluquería y al que solo tienen acceso cuatro trabajadores, entre ellos el www.agpd.es sedeagpd.gob.es 2/9 Propietario. 1.6 Para el tratamiento del fichero de CLIENTES cuentan con una aplicación denominada MANAGER, a la que solo tienen acceso las cuatro personas a las que se les ha habilitado un usuario y una contraseña. 1.7 Aunque en un principio la aplicación tenía una opción para poder remitir SMS a los clientes, dicha opción nunca ha sido habilitada. 1.8 Con relación a la información proporcionada a los clientes relativa al tratamiento de sus datos y ejercicio de sus Derechos, se ha colocado un cartel informativo en el recinto de La Peluquería. 1.9 En el local existen seis cámaras de video vigilancia instaladas, cuatro de ellas nunca han estado en funcionamiento, estando únicamente operativas las otras dos que están conectadas con la alarma de La Peluquería y actúan por detección de movimiento. Dichas cámaras solo se ponen en funcionamiento cuando se activa la alarma al cierre de la actividad. En el caso de que se detecte un movimiento, salta la alarma y las dos cámaras toman imágenes. La instalación y mantenimiento de dichas cámaras, así como el tratamiento de las imágenes se realiza por la empresa SERCOIN Sistemas de Seguridad, S.A., con quien existe un contrato de fecha 5 de julio de 2012 para la custodia y el mantenimiento de imágenes, que se encuentra de pendiente de firma. 1.10 El sistema de funcionamiento de las dos cámaras activas es el siguiente: 1.10.1 Se realiza una captura de una imagen de video de diez segundos únicamente en situación de alerta por alarma, no permitiendo captar imágenes si no se cumple la premisa de disparo de sistema de alarma. La central receptora de seguridad guarda las imágenes durante seis meses, que es el tiempo que obliga la normativa a mantener junto con el resto de eventos que se registren en la alarma. 1.11 2 C/ Jorge Juan, 6 28001 – Madrid En la puerta de entrada a La Peluquería se encuentra un cartel informativo relativo a la existencia de un sistema de video vigilancia y la identidad del responsable ante el que se pueden ejercitar los derechos previstos en la LOPD. A requerimiento de las inspectoras, el representante de La Peluquería hace entrega del Documento de Seguridad, del cual tras ser examinado, se recaba copia de los siguientes documentos: 2.1 Nombramiento como responsable de Seguridad a D. A.A.A.. 2.2 Especificación de los ficheros de los que es responsable y aplicaciones que los gestionan. www.agpd.es sedeagpd.gob.es 3/9 2.3 Identificación, Autenticación y Gestión de Usuarios, donde se especifica que únicamente el Responsable de seguridad tiene competencias para dicha gestión. 2.4 Modelos de Impreso del Compromiso de Confidencialidad que deben suscribir los trabajadores. Se comprueba que existe un documento firmado por cada trabajador. 2.5 Relación de usuario con permisos para el acceso a la aplicación MANAGER, que gestiona el Fichero de CLIENTES. 3 La Peluquería ha suscrito un contrato de Prestación de servicios con la empresa AAR Software Beauty Solutions, S.L., con la finalidad de mantenimiento del Software y cualquier otra actividad relacionada con el mantenimiento de la Aplicación. 4 El representante de La Peluquería hace entrega del contrato de prestación de servicios, suscrito con la Asesoría Laboral LAVIN ASESORES, para la gestión del personal contratado por la Peluquería. 5 Se realizaron las siguientes comprobaciones en el local inspeccionado: 6 5.1 Se verifica la existencia de un cartel informativo de la existencia de un sistema de video vigilancia y de la identidad de su responsable, en la puerta de entrada al local. 5.2 Se verifica la existencia de un cartel informativo con relación a la recogida y tratamiento de datos a los clientes, en la pared izquierda de la entrada al local. 5.3 Se verifica la existencia de seis cámaras, siendo dos de ellas de un modelo que actúan mediante detección de presencia. 5.4 Se verifica la existencia del panel de activación del sistema de alarma conectado a las dos cámaras.ç 5.5 Se verifica que existen cuatro cables desconectados, que según manifiesta el representante de la entidad corresponden a las cuatro cámaras inactivas. Se adjunta reportaje fotográfico relativo a las comprobaciones. Mediante acceso a la aplicación MANAGER que gestiona el fichero de CLIENTES, se verifica que: 6.1 para el acceso a la aplicación están definidos cuatro usuarios, teniendo que seleccionar uno de ellos y teclear su contraseña. 6.2 en la información asociada a cada cliente consultado hay un resumen de los servicios que se le han prestado. 6.3 Se accede aleatoriamente, a los datos de ocho clientes, no obteniéndose evidencia de la existencia de datos sanitarios ni tratamientos médicos asociados, ni de imágenes. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La denuncia se concreta en los apartados siguientes: 1. Recogida de datos de los clientes sin informar de la forma que indica el artículo 5 de la LOPD. 2. Recogida de datos de salud de los clientes sin solicitar el consentimiento expreso y por escrito. 3. Tratamiento de datos de las empleadas que son cedidos a una Asesoría para la gestión administrativa y laboral. 4. Cesión de datos de las empleadas a empresas del sector para que asistan a cursos y eventos relacionados con promoción de productos que se usan en la peluquería. 5. Existen cámaras de videovigilancia que graban 24 horas al día. 6. No se cumplen las medidas de seguridad ya que entran en los sistemas sin clave ni contraseña. En relación a la primera cuestión denunciada, hay que señalar que el artículo 5 de la LOPD recoge lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. …2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. La obligación que impone este artículo 5 es, por tanto, la de informar al afectado en la recogida de datos, pues sólo así queda garantizado el derecho del mismo a tener C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 una apropiada información y a consentir o no el tratamiento, en función de aquélla. Así, de acuerdo con lo establecido en el artículo 5 transcrito, la entidad denunciada debe informar a los interesados de los que recabe datos sobre los extremos establecidos en el aludido artículo 5.1. La información a la que se refiere el artículo 5.1 de la LOPD debe suministrarse a los afectados previamente a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. Durante la visita de inspección efectuada en el local donde se recibe a los clientes, se verificó la existencia de un cartel informativo con relación a la recogida y tratamiento de datos a los clientes, en la pared izquierda de la entrada al local con las exigencias recogidas en el mencionado artículo. En el fichero de CLIENTES, los datos que se incluyen son: Datos identificativos, Nombre y apellido, en algunos casos número de teléfono y en algunos casos dirección postal y servicios realizados al mismo y las fechas en las que se realizaron. Con la finalidad de verificar si existían datos de salud de los clientes almacenados, se accedió a la información asociada a cada cliente consultado hay un resumen de los servicios que se le han prestado. Se accedió, aleatoriamente, a los datos de ocho clientes no obteniéndose evidencia de la existencia de datos sanitarios ni tratamientos médicos asociados, ni de imágenes de los mismos. III En relación con la cesión de los datos de los empleados de la Peluquería a la gestoría Lavin Asesores, como regla general, la LOPD exige en su artículo 11 para la comunicación de datos personales a un tercero el previo consentimiento del interesado. Así, dispone en su apartado 1: “Los datos de carácter personal objeto del tratamiento solo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado.” El artículo 3.
- i)de la citada norma define la “cesión o comunicación de datos” como “toda revelación de datos realizada a una persona distinta del interesado”. No obstante lo anterior, la propia LOPD, en su artículo 12, habilita el acceso de terceros a los datos personales cuando éste se efectúe para prestar un servicio al responsable del fichero o del tratamiento. El artículo 12, bajo la rúbrica “Acceso a los datos por cuenta de terceros” establece: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente.” (El subrayado es de la AEPD) En definitiva, el artículo 12.1 de la LOPD permite que la persona o entidad que presta un servicio al responsable del fichero acceda a datos de carácter personal sin que este acceso se considere, por imperativo legal, una cesión o comunicación de datos. Las investigaciones llevadas a cabo por la Subdirección de Inspección de Datos han permitido comprobar que el Don A.A.A. suscribió un contrato de Prestación de Servicios con Lavín Asesores y que en el marco de dicho contrato se facilitan los datos de los empleados para la realización de contratos, recibos de salarios, liquidación de seguros… IV Las empleadas han denunciado la cesión de sus datos personales a empresas del sector para que asistan a cursos y eventos relacionados con la promoción de productos que se usan en la peluquería El artículo 6.1 de la LOPD, señala lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. El apartado 2 del mismo artículo añade que “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30/11, (Fundamento Jurídico 7, primer párrafo) “... consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Para que dicho tratamiento de datos realizado por ***NOMBRE.1 resultara conforme con los preceptos de la LOPD, debía concurrir alguno de los supuestos contemplados en el artículo 6 de la dicha norma. En el presente caso, ha quedado acreditado que la denunciante y sus compañeras de trabajo mantenían una relación laboral con el responsable de la peluquería denunciada, no siendo preciso su consentimiento para el tratamiento de sus datos con finalidades relacionadas con tal relación laboral, como es acudir a eventos en los que se presentan productos de uso en la peluquería o cursos de actualización en la materia. V En relación a la existencia de cámaras de video vigilancia en el local que graban 24 horas al día. El deber de información, también denominado principio de transparencia en el tratamiento de datos, constituye uno de los pilares esenciales del sistema establecido en la Ley Orgánica 15/1999. De este modo, para que sea posible el tratamiento de los datos de carácter personal, con independencia de que sea preciso el consentimiento del afectado o de que los datos procedan de aquél o de terceras fuentes en virtud de una cesión lícita, será preciso que el afectado sea adecuadamente informado, en los términos establecidos por el artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de datos de Carácter Personal, como anteriormente se ha expuesto. La información al afectado debe producirse en el momento de la recogida de sus datos de carácter personal, y abarcar los extremos esenciales relacionados con el tratamiento. La infracción del artículo 5 está tipificada como leve en el artículo 44.2.
- c)de la LOPD, que considera como tal: “El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado.”. La LOPD reconoce, junto al deber de información, el momento en que se ha de informar al interesado y el contenido de dicha información. La recogida de datos se puede definir como la comunicación de los datos por el interesado al responsable del fichero o la obtención de dichos datos por otros medios distintos del propio afectado. Los procedimientos en la recogida de datos pueden ser diversos; declaraciones o formularios, encuestas o entrevistas, transmisión electrónica, páginas web… C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 En cuanto al modo en que ha de facilitarse la información recogida en el artículo 5 de la LOPD, de los sistemas de video vigilancia, debe tenerse en cuenta el artículo 3 de la Instrucción 1/2006, de la AEPD sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras, que establece lo siguiente: “Los responsables que cuenten con sistemas de video vigilancia deberán cumplir con el deber de información previsto en el artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre. A tal fin deberán:
- a)Colocar, en las zonas video vigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados y
- b)Tener a disposición de los/las interesados/as impresos en los que se detalle la información prevista en el artículo 5.1 de la Ley Orgánica 15/1999. El contenido y el diseño del distintivo informativo se ajustará a lo previsto en el Anexo de esta Instrucción.” “ANEXO1. El distintivo informativo a que se refiere el artículo 3.
- a)de la presente Instrucción deberá de incluir una referencia a la «LEY ORGÁNICA 15/1999, DE PROTECCIÓN DE DATOS», incluirá una mención a la finalidad para la que se tratan los datos («ZONA VIDEOVIGILADA»), y una mención expresa a la identificación del responsable ante quien puedan ejercitarse los derechos a los que se refieren los artículos 15 y siguientes de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal.” Durante la visita de inspección se constató que en el local había seis cámaras de video vigilancia instaladas, cuatro de ellas nunca han estado en funcionamiento, estando únicamente operativas las otras dos que están conectadas con la alarma de La Peluquería y actúan por detección de movimiento. Dichas cámaras solo se ponen en funcionamiento cuando se activa la alarma al cierre de la actividad. En el caso de que se detecte un movimiento, salta la alarma y las dos cámaras toman imágenes. La instalación y mantenimiento de dichas cámaras, así como el tratamiento de las imágenes se realiza por la empresa SERCOIN Sistemas de Seguridad, S.A., con quien existe un contrato de fecha 5 de julio de 2012 para la custodia y el mantenimiento de imágenes, que se encuentra de pendiente de firma. Se verificó por los servicios de inspección de esta Agencia que en la puerta de entrada a La Peluquería se encuentra un cartel informativo relativo a la existencia de un sistema de video vigilancia y la identidad del responsable ante el que se pueden ejercitar los derechos previstos en la LOPD. Por último, y en lo relativo al incumplimiento de las medidas de seguridad ya que, según lo expuesto en la denuncia, los trabajadores entran en los sistemas sin clave ni contraseña, hay que señalar que los inspectores comprobaron que para el acceso a la aplicación están definidos cuatro usuarios, teniendo que seleccionar uno de ellos y teclear su contraseña. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 SE ACUERDA: 1 PROCEDER AL ARCHIVO de las presentes actuaciones. 2 NOTIFICAR la presente Resolución a Don A.A.A. y a Doña B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es