E-06357-2016

1/5 Expediente Nº: E/06357/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad AUTOCARES CANALS, S.A., en virtud de denuncia presentada por Don B.B.B., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 29 de agosto de 2016, tuvo entrada en esta Agencia un escrito remitido de Don B.B.B., en el que manifiesta que la empresa solicita a los trabajadores el consentimiento para la comunicación de sus datos personales a todas las empresas del Grupo Avant. Anexa copia del documento de solicitud del consentimiento, donde figura en su párrafo segundo: Asimismo, nos autoriza expresamente que sus datos puedan ser comunicados a las empresas de transporte del Grupo Avant, por motivos de organización empresarial, a la Administración Pública, a entidades bancarias para pago de nóminas, mutuas laborales, empresas de prevención de riesgos laborales, a aquellas entidades o clientes que exijan o ante las cuales sea necesaria identificar a los empleados, aseguradoras, proyectos, subvenciones, formación, mensajería, renting, identificación infracciones de tráfico y similares. Asimismo, el trabajador se da por informado y consiente que el tratamiento de sus datos identificativos e imagen sea público dentro del grupo de las empresas que conforman el Grupo Avant. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fecha 11 de enero de 2017, se recibe escrito de la entidad Autocares Canals, S.A., en el que comunica que:  La denominación del Grupo Avant es puramente comercial y no constituyen un grupo empresarial desde el punto de vista fiscal, sino que son empresas que actúan individualmente, compartiendo objetivos, recursos y prestación de servicios de transporte mutuamente, todas ellas dedicadas a la misma actividad: el transporte de viajeros por carretera.  Las empresas que lo componen son:  AUTOCARES CANALS, S.A  SERVEIS INTEGRALS DE TRANSPORT DE VIATGERS AVANT CRUP, S.L.  AVANT GRUP BARDET, S.L.  AUTOCARES CONGOSTO, S.L.  No existe relación directa entre los trabajadores de Autocares Canals, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 S.A., y el resto de empresas que lo componen. Cada empresa gestiona individualmente a sus trabajadores y no hay cesión automática y generalizada de los trabajadores de unas empresas a otras del grupo.  No obstante, existen determinadas relaciones entre las empresas del grupo:  Prestación de determinados servicios de administración, recursos humanos, gestión de nóminas e informática, que se prestan entre las empresas en calidad de encargadas del tratamiento. Las prestadoras de estos servicios han firmado con el resto el correspondiente contrato que incluye el artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD).  Contratación de servicios por carretera entre las empresas, lo cual implica la cesión de los datos identificativos del conductor del mismo. La relación entre las empresas del Grupo AVANT es como cliente-proveedor.  El documento de consentimiento e información, es un escrito destinado al cumplimiento del art. 5 de la LOPD, dirigido a la totalidad de los trabajadores de la empresa, por lo que algunas indicaciones y posibles cesiones no afectan a todos.  El motivo por el que se incluye las cesiones entre las empresas del grupo es para informar a los trabajadores, básicamente conductores, que para la contratación de servicios de autocares entre las empresas del grupo, es necesario la comunicación de datos, que a su vez son informados en cada servicio cuando actúan para otra empresa del grupo.  La finalidad indicada de organización empresarial, se debe a que esta contratación de autocares entre las empresas del grupo, constituye una ventaja comercial y en consecuencia, forma parte de la organización empresarial.  En relación a la oposición del trabajador, ésta consta en el propio texto donde se indica cómo pueden ejercitar sus derechos, no obstante se trata de una cesión que no requiere consentimiento al ser fruto de la existencia de una relación laboral.  Los datos que se comunican son: Datos identificativos de nombre y apellidos. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la LOPD. II La denuncia se concreta en que la cláusula de consentimiento e información que Autocares Canals facilita a sus trabajadores establece que los datos pueden ser C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 comunicados a otras empresas del Grupo Avant. La LOPD en su artículo 6, dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley…” De acuerdo a lo establecido por la LOPD, el consentimiento se erige como una de las piedras angulares del principio de protección de los datos de carácter personal. Así, el “tratamiento” de los datos del particular por parte de un tercero, en principio, sólo se puede llevar a cabo en el caso de que el titular de los mismos autorice dicho tratamiento, estableciéndose la posibilidad de que dicha autorización sea revocada en cualquier momento. Sin embargo, a lo largo de la LOPD se prevén determinados casos en los que el tratamiento de los datos de un particular no requiere del consentimiento que es exigido como regla general, como se trata en el supuesto del tratamiento de los datos de los trabajadores por parte del empresario. En cuanto a las cesiones señaladas en el documento que se entrega a los trabajadores, el artículo 11. 1 y 2 de la LOPD, relativo a la cesión de datos, señala: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso:
2. a)Cuando la cesión está autorizada en una Ley. Por último, el artículo 12 de la LOPD “acceso a datos por cuenta de terceros”, establece lo siguiente: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto de tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”. El citado artículo 12.1 de la LOPD permite que el responsable del fichero habilite el acceso a datos de carácter personal por parte de la entidad que va a prestarle un servicio –encargado del tratamiento- sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión de datos. La LOPD exige que el acceso a datos por cuenta de terceros figure reflejado en un contrato por escrito o en alguna otra forma que permita acreditar su celebración y contenido, y prevé unos contenidos mínimos, tales como seguir las instrucciones del responsable del tratamiento, no utilizar los datos para un fin distinto, no comunicarlos a otras personas, estipular las medidas de seguridad del artículo 9 y, cumplida la prestación, destruir los datos o proceder a su devolución al responsable del tratamiento. En el presente caso, la empresa Autocares Canals facilita a sus trabajadores un documento denominado “CONSENTIMIENTO E INFORMACIÓN PARA EL TRATAMIENTO DE LOS DATOS PERSONALES DE LOS TRABAJADORES” cuando en realidad la sociedad Canals no precisa el consentimiento de sus trabajadores para el tratamiento de sus datos, ya que esta exceptuado en el artículo 6.2 de la LOPD. En cuanto a las cesiones denunciadas no son tales al estar amparadas en contratos de prestación de servicios con empresas terceras o del Grupo Avant, del que forma parte Autocares Canals. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a AUTOCARES CANALS, S.A., y a Don B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es