E-06036-2014

1/7 Expediente Nº: E/06036/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad EULEN SEGURIDAD, S.A. en virtud de denuncia presentada por D. A.A.A., D. B.B.B., D. C.C.C. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 23 de julio de 2014, tuvo entrada en esta Agencia escrito de D. A.A.A., D. B.B.B. y D. C.C.C. (en lo sucesivo los denunciante) EULEN SEGURIDAD, S.A. en lo sucesivo el/la denunciado/

1. a)en el que denuncia a la empresa EULEN SEGURIDAD S.L. ( en adelante EULEN) manifestabdo que los han despedido utilizando un sistema de control de flotas con dispositivo GPS cuando el uso de dicho dispositivo no fue comunicado debidamente a los trabajadores y que desconocían el uso que la empresa estaba haciendo de este sistema de control y nunca prestaron el consentimiento al uso que la empresa podía hacer de dichos datos. Aportan copia de las cartas de despido en la que consta que son sancionados por despido disciplinario y que los hechos que han motivado la referida sanción son una auditoría interna realizada a raíz de los hechos acontecidos el día 13/12/2013 con un compañero del servicio de seguridad de la Patrulla de Adif. Que quién realiza la auditora es el Jefe de Seguridad y para ello procede a revisar el sistema de GPS de todos los vehículos detectando que no realizan debidamente las rutas establecidas de seguridad y vigilancia y que se detectan incongruencias entre las rutas de los partes de trabajo firmados y el GPS del vehículo en el que prestan servicio. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 19/1/2015 se solicita información a EULEN y de la respuesta facilitada se desprende lo siguiente: 1. Acompañan copia de las cartas de despido de los tres denunciantes que coinciden con las aportadas por éstos en su denuncia y asimismo acompañan sentencias de los Juicios de Despido. Las sentencias son de fecha septiembre de 2014 y cabe destacar en el punto TERCERO de “Hechos Probados” que: “El actor tenía conocimiento de que en el vehículo de la empresa con el que prestaba sus servicios había instalado un sistema de GPS”. Y asimismo en el punto CUARTO “el día 7 de abril de 2011 la empresa demandada informó al actor de que sus datos serían incorporados a los ficheros de datos personales incorporados a la Empresa y que serían tratados con la finalidad de permitir el ejercicio de los derechos y el cumplimiento de las obligaciones derivadas de su relación laboral…” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 En los Fundamentos de Derecho, apartado SEGUNDO consta: “A la vista de lo expuesto, debe concluirse que la prueba obtenida mediante la utilización de un sistema de GPS es lícita puesto que, en el presente caso, la empresa informó previamente al trabajador, tanto de la existencia del sistema de GPS como de la posibilidad de utilizar sus datos para controlar el cumplimiento de sus obligaciones laborales” . 2. Asimismo, manifiestan y matizan que según consta en las cartas de despido y en las sentencias aportadas,, el Jefe de Seguridad en el ejercicio de las funciones que le atribuye el artículo 35 de la Ley de Seguridad Privada, realiza una inspección rutinaria del servicio que presta EULEN en las líneas de alta velocidad de ADIF. Para localizar el lugar donde se encontraba la patrulla a inspeccionar utilizó el GPS. En dicha inspección se constata que dos vigilantes armados que deberían estar patrullando a lo largo de las vías del AVE se encuentran en su casa particular y con signos evidentes de haber consumido alcohol. Ante estas irregularidades se abre una investigación para comprobar la correcta prestación del servicio de vigilancia de la línea de alta velocidad, con el resultado que consta en las cartas de despido y las sentencias de los juicios posteriores. 3. Matizan también que los trabajadores conocían la existencia del dispositivo GPS, esto es reconocido en las sentencias. El dispositivo fue utilizado para una inspección de un servicio de seguridad móvil, cuyo objeto de protección es una infraestructura especialmente sensible (línea AVE) prestado por vigilantes de seguridad que portan armas de fuego. Sólo cuando arroja el resultado de las graves irregularidades mencionadas anteriormente, es cuando se vuelve a utilizar para comprobar si el servicio ha sido o no correctamente. Los datos obtenidos en la auditoria posterior son los estrictamente necesarios para realizar las actuaciones propuestas: se utiliza el dato de funcionamiento del vehículo para comprobar que estaba parado cuando debía estar efectuando la ronda que tenía encomendada, pero no se localiza a los trabajadores ni se conoce cuál era su ubicación o lo que estaban haciendo. El procedimiento ha sido tremendamente garantista pues dos de los despedidos eran Representantes Sindicales por lo que fue instruido el oportuno expediente que luego ha sido confirmado por las sentencias de despido. 4. Acompañan modelos de información y consentimiento informado en los que se informa a los trabajadores de que sus datos van a ser tratados con la finalidad de permitir el ejercicio de los derechos y el cumplimiento de las obligaciones derivados de su relación laboral. 5. Copia de la información que al tiempo de hacer entrega de su vehículo equipado con GPS se entrega a los trabajadores que van a utilizarlo y en la que consta con toda claridad que dicho dispositivo permite a la empresa efectuar un control y seguimiento exhaustivo de la utilización del vehículo por el empleado. 6. Finalmente hacen referencia a los que recoge las sentencias aportadas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
2. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La LOPD en su artículo 6, recoge: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento”; En el presente caso, está probada la relación laboral de los denunciantes con la empresa EULEN que la permite tratar los datos personales de los denunciantes para las finalidades laborales que tiene encomendadas como el seguimiento de las obligaciones profesionales. El Decreto Legislativo 1/1995, de 24 de marzo, por el que se aprueba el texto refundido de la Ley del Estatuto de los Trabajadores -ET- ha atribuido facultades específicas a la empresa que posibilitan el control del desarrollo de la prestación laboral y el ejercicio de estas facultades comporta en muchas ocasiones tratamientos de datos personales. Su artículo 20, apartado 3 y 4 , disponen: «3. El empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad humana y teniendo en cuenta la capacidad real de los trabajadores disminuidos, en su caso. 4. El empresario podrá verificar el estado de enfermedad o accidente del trabajador que sea alegado por éste para justificar sus faltas de asistencia al trabajo, mediante reconocimiento a cargo de personal médico. La negativa del trabajador a dichos reconocimientos podrá determinar la suspensión de los derechos económicos que pudieran existir a cargo del empresario por dichas situaciones. (Art. 20.3 y 4 Real Decreto Legislativo 1/1995, de 24 de marzo, por el que se aprueba el texto refundido de la Ley del Estatuto de los Trabajadores). Cuando para el desarrollo de la función empresarial de control se utilizan las tecnologías de la información, las posibilidades de repercusión en los derechos del trabajador se multiplican y se manifiestan de muy diversos modos. Pueden citarse entre otros, los controles biométricos como la huella digital, la videovigilancia, los controles sobre el ordenador -como las revisiones, el análisis o la monitorización remota, la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 indexación de la navegación por Internet, o la revisión y monitorización del correo electrónico y/o del uso de ordenadores-, o los controles sobre la ubicación física del trabajador mediante geolocalización. En la mayor parte de estos supuestos existen tratamientos de datos personales y, en consecuencia es necesario cumplir con los principios de protección de datos. La Agencia Española de Protección de Datos y la jurisprudencia de los tribunales han venido indicando distintos supuestos en los que tales tratamientos son admisibles y las condiciones para su realización. Por otro lado, el uso de tecnologías de la información multiplica las posibilidades de control empresarial y obliga a tener en cuenta el respeto a los derechos fundamentales de los trabajadores, a adoptar medidas de control que sean proporcionales y respeten su dignidad, su derecho a la protección de datos y su vida privada. Existe por tanto, un conjunto de principios cuyo respeto resulta recomendable cuando no prácticamente ineludible. La legitimación para el tratamiento deriva de la existencia de la relación laboral y, por tanto, de acuerdo con el trascrito artículo 6.2 LOPD, no se requiere del “consentimiento” . A la hora de decidir adoptar una medida de control que comporte un tratamiento de datos personales debe aplicarse el principio de “proporcionalidad” así puede ser perfectamente razonable dotar de un dispositivo de geolocalización en tareas como, en el presente caso, mantener la seguridad en las instalaciones del transporte por ferrocarril y para las que resulte relevante conocer donde se encuentra el vehículo dotado de localizador y, por ende los trabajadores, en qué momento se están llevando a cabo las obligaciones derivadas de la realización de labores de la seguridad, sin que ello pueda suponer pues no sería proporcional que se facilite un dispositivo de esta naturaleza a todos los trabajadores de la empresa cuando su tipo de prestación no lo haga necesario. Debe existir una “finalidad” que, en este caso, no puede ser otra que la establecida por el trascrito artículo 20.3 ET de «verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales». «En cuanto a la posibilidad de que las huellas sean tratadas sin consentimiento del interesado, (...) será posible el tratamiento inconsentido, ya que el artículo 6.2 de la LOPD prevé que no será preciso el consentimiento cuando los datos "se refieran a las partes de un contrato o precontrato de una relación laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento" (Informe sobre Tratamiento de la huella digital de los trabajadores)» Los datos que se obtengan y almacenen deberán ser “exactos y puestos al día” y no podrán conservarse más tiempo del necesario. Se recomienda a los empleadores fijar un plazo de conservación. Y también, debe cumplirse con el deber de “información” a los trabajadores. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 Este deber resulta particularmente relevante cuando se trate de controles sobre el uso de Internet y/o del correo electrónico. En este caso es muy recomendable que la información a los trabajadores sea clara en lo que respecta a la política de la empresa en cuanto a utilización del correo electrónico e Internet, describiendo de forma pormenorizada en qué medida los trabajadores pueden utilizar los sistemas de comunicación de la empresa con fines privados o personales. Así como que incluya la finalidad de la vigilancia, y cuando pueda repercutir sobre medios que el trabajador utiliza normalmente una información sobre las medidas de vigilancia adoptadas. Por otra parte, en la medida en la que este tipo de controles inciden sobre el conjunto de la empresa puede ser muy recomendable informar también a los representantes de los trabajadores de las políticas adoptadas en esta materia. No se trata en absoluto de que el trabajador conozca el detalle de políticas de seguridad que pueden afectar a ámbitos que la empresa necesita proteger. Sin embargo, es indispensable que conozca por ejemplo si puede recibir mensajes privados, o depositar fotografías en determinados espacios en su ordenador o en un servidor corporativo o cualquier medida sobre la monitorización de sus obligaciones profesionales. La información previa y su prueba es esencial, ya que estos tratamientos no requieren el consentimiento del trabajador y son manifestación de los poderes de control del empresario. «..es necesario recordar lo que ya se dijo sobre la existencia de un hábito social generalizado de tolerancia con ciertos usos personales moderados de los medios informáticos y de comunicación facilitados por la empresa a los trabajadores. Esa tolerancia crea una expectativa también general de confidencialidad en esos usos; expectativa que no puede ser desconocida, aunque tampoco convertirse en un impedimento permanente del control empresarial, porque, aunque el trabajador tiene derecho al respeto a su intimidad, no puede imponer ese respeto cuando utiliza un medio proporcionado por la empresa en contra de las instrucciones establecidas por ésta para su uso y al margen de los controles previstos para esa utilización y para garantizar la permanencia del servicio. Por ello, lo que debe hacer la empresa de acuerdo con las exigencias de buena fe es establecer previamente las reglas de uso de esos medios –con aplicación de prohibiciones absolutas o parciales- e informar a los trabajadores de que va existir control y de los medios que han de aplicarse en orden a comprobar la corrección de los usos, así como de las medidas que han de adoptarse en su caso para garantizar la efectiva utilización laboral del medio cuando sea preciso, sin perjuicio de la posible aplicación de otras medidas de carácter preventivo, como la exclusión de determinadas conexiones. De esta manera, si el medio se utiliza para usos privados en contra de estas prohibiciones y con conocimiento de los controles y medidas aplicables, no podrá entenderse que, al realizarse el control, se ha vulnerado "una expectativa razonable de intimidad" en los términos que establecen las sentencias del Tribunal Europeo de Derechos Humanos de 25 de junio de 1997 (caso Halford) y 3 de abril de 2007 (caso Copland) para valorar la existencia de una lesión del artículo 8 del Convenio Europeo par la protección de los derechos humanos. (Sentencia de la Sala de lo Social del Tribunal Supremo de 26 de septiembre de 2007)». En síntesis, el Tribunal Supremo en la Sentencia de fecha 26 de septiembre de 2007 sobre el “control empresarial del correo electrónico”, concluye la posibilidad de que el empresario pueda acceder al control del ordenador, del correo electrónico, los accesos a Internet de los trabajadores y a controles de geolocalización , siempre que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 la empresa de “buena fe” haya establecido “previamente” las reglas de uso de esos medios con aplicación de prohibiciones absolutas o parciales e informado de que va existir un control y de los medios que han de aplicarse en orden a comprobar la corrección de los usos. III Pues bien, de las diligencias preliminares llevadas a cabo por la Inspección, se desprende que la empresa denunciada informó de buena fe y previamente a los trabajadores de la instalación de GPS en los vehículos de la empresa, conducta que observa las prescripciones previstas en la normativa sobre protección de datos y jurisprudencia consolidada. El Hecho Segundo de la presente resolución es concluyente respecto a que la mercantil EULEN informó a los trabajadores previamente y de buena fe de la instalación de GPS en los vehículos de la empresa al recoger como hecho Probado la Sentencia de despido aportadas “El actor tenía conocimiento de que en el vehículo de la empresa con el que prestaba sus servicios había instalado un sistema de GPS”. Y asimismo en el punto CUARTO “el día 7 de abril de 2011 la empresa demandada informó al actor de que sus datos serían incorporados a los ficheros de datos personales incorporados a la Empresa y que serían tratados con la finalidad de permitir el ejercicio de los derechos y el cumplimiento de las obligaciones derivadas de su relación laboral…” Y en los Fundamentos de Derecho, apartado SEGUNDO consta: “A la vista de lo expuesto, debe concluirse que la prueba obtenida mediante la utilización de un sistema de GPS es lícita puesto que, en el presente caso, la empresa informó previamente al trabajador, tanto de la existencia del sistema de GPS como de la posibilidad de utilizar sus datos para controlar el cumplimiento de sus obligaciones laborales” Asimismo, manifiestan y matizan que según consta en las cartas de despido y en las sentencias aportadas, el Jefe de Seguridad en el ejercicio de las funciones que le atribuye el artículo 35 de la Ley de Seguridad Privada, realiza una inspección rutinaria del servicio que presta EULEN en las líneas de alta velocidad de ADIF. Por lo que procede acreditado que los trabajadores de EULEN estaban informados previamente y de buena fe de la instalación de dispositivos GPS en lo vehículos de la empresa procede declarar el archivo de las actuaciones Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a EULEN SEGURIDAD, S.A. y a D. A.A.A., D. B.B.B. y D. C.C.C.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es