E-06624-2013

1/7 Expediente Nº: E/06624/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades GESICO SISTEMAS, MERCADOS CENTRALES DE ABASTECIMIENTO DE SEVILLA S.A. en virtud de denuncia presentada por D.A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 19 de septiembre de 2013 tiene entrada en esta Agencia un escrito de D.A.A.A. en el que declara que MERCASEVILLA (Mercados Centrales de Abastecimientos de Sevilla S.A.) ha vulnerado la normativa de protección de datos al ceder ilícitamente a GESICO S.L. la base de datos en la que constan los datos personales y fiscales de los minoristas. SEGUNDO: Tras la recepción de la denuncia, el Director de la Agencia Española de Protección de Datos ordenó a la Subdirección General de Inspección de Datos la realización de las actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, constatando los siguientes extremos: 1. Con fecha 12 de junio de 2014 se solicitó la siguiente información a Mercados Centrales de Abastecimientos de Sevilla S.A.:  Documentación acreditativa de la relación jurídica de MERCASEVILLA S.A. y GESICO SISTEMAS S.L. especificando el procedimiento establecido para llevar a cabo los servicios de facturación y cobro de los minoristas, en los periodos de huelga de la Asociación de Mayoristas de Pescado de Mercasevilla  Especificación de las fechas en las que comenzó la relación contractual y su finalización  Especificación detallada del tipo de datos transferidos a GESICO SISTEMAS S.L. en el marco de la citada relación contractual, 2. Con fecha 27 de junio de 2014 tienen entrada en el registro de la AEPD la respuesta del Director General de MERCASEVILLA, S.A. al requerimiento anterior, en el que expone:  Los Minoristas de pescado no son clientes de Mercasevilla, son clientes de cada uno de los Mayoristas de Pescado, estos datos mercantiles estaban en la base de datos de Mercasevilla por el sistema de facturación existente en esa fecha, en el que Mercasevilla facturaba y cobraba al Minorista por cuenta del Mayorista. Actualmente la intermediación ya no existe por lo que Mercasevilla ya no dispone de datos que son propiedad de los Mayoristas de Pescado.  Los Mayoristas de Pescado, de forma individual, solicitaron a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7     Mercasevilla que facilitará los datos mercantiles de sus propios clientes, Minoristas de pescado, en poder de Mercasevilla: Razón Social, CIF, domicilio social. Mercasevilla facilitó los datos de los clientes de los Mayoristas de Pescado dando respuesta a la solicitud de cada uno de los Mayoristas. No existe relación jurídica alguna entre Mercasevilla y Gesico Sistemas, S.L. en el período de Huelga de los trabajadores de Mercasevilla. La Asociación de Mayoristas de Pescado no ha hecho Huelga. La Huelga fue convocada por los Trabajadores de Mercasevilla. 3. Con fecha 15 de julio de 2014 se solicitó la siguiente información a GESICO SISTEMAS S.L.:  Documentación acreditativa de la relación jurídica establecida entre MERCASEVILLA S.A. y GESICO SISTEMAS S.L. especificando el procedimiento establecido para llevar a cabo los servicios de facturación y cobro de los minoristas, en los periodos de huelga de los Trabajadores de MERCASEVILLA S.A. entre noviembre de 2012 y agosto de 2013.  Especificación de las fechas en las que comenzó la relación contractual y su finalización.  Especificación detallada del tipo de datos transferidos a GESICO SISTEMAS S.L. por parte de MERCASEVILLA S.A.  Documentación acreditativa de la relación jurídica entre GESICO SISTEMAS S.L. y los Mayoristas de Pescado de MERCASEVILLA S.A. para el tratamiento de los datos de los minoristas. Se puede omitir de la documentación toda aquella información que no sea relativa a las cláusulas que especifican los términos para el tratamiento de datos de carácter personal. 4. Con fecha 30 de julio de 2014 tuvo entrada por correo electrónico un mensaje de D. B.B.B. desde la dirección ...@... en el que se adjunta un documento PDF con la siguiente declaración:  D.B.B.B. se identifica como Administrador único de la mercantil GESICO SISTEMAS S.L.  Que GESICO SISTEMAS, S.L. no tiene ni ha tenido relación jurídica con MERCASEVILLA, S.A., por prestación de servicios. Durante los días de Huelga de los Trabajadores de Mercasevilla, la Asociación de Mayoristas de Pescados, canalizó la asistencia técnica de sus asociados que eran todos los Mayoristas que tienen actividad en el Pabellón de Pescados, Mercasevilla, denominado El Barranco. Cada mayorista facturó, con su propio personal y sus propios equipos informáticos, las ventas diarias, facilitando esos datos a su Asociación para el cobro de las facturas que amparaban las compraventas diarias. Y fue dicha Asociación de Mayoristas quien contrató los servicios de GESICO SISTEMAS, S.L. para el proceso de cobro de cada mayorista de sus ventas sobre los días efectivos de Huelga, de forma centralizada. Dichos servicios fueron prestados en las propias dependencias de la Asociación. Dado lo incierto e incertidumbre de las circunstancias que rodeaban dicha gestión, no se materializó contrato por escrito, sino únicamente encargo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 verbal.  Cada uno de los mayoristas que operaban en el Pabellón de Pescados autorizó por escrito individualizado a que la Asociación de Mayoristas solicitara a MERCASEVILLA los datos de las facturas pendientes de cobro en los días de Huelga para que GESICO SISTEMAS, S.L. pudiera realizar el cobro de las mismas. El Comité de Empresa de Mercasevilla admitió y aceptó, según consta en las Actas de las reuniones celebradas con motivo del Expediente de Regulación de Empleo, que los empresarios mayoristas pudieran realizar el cobro y la facturación de sus ventas en los días de Huelga. Por lo tanto, los datos fueron entregados a la Asociación de Mayoristas para que cada empresa pudiera realizar su facturación y el cobro de sus facturas. El hecho de que se centralizara en los locales de la Asociación fue acordado por unanimidad para que la gestión se pudiera realizar de forma centralizada, como se venía haciendo hasta la fecha, y cada mayorista proporcionaba sus datos y recibía únicamente información de su facturación y del cobro de sus facturas. Los datos proporcionados, por tanto, consistieron en los datos necesarios para confeccionar legalmente las facturas, -datos del vendedor, datos del comprador, descripción de tipo de producto, peso, precio, iva aplicable y total factura-.  La Asociación de Mayoristas de Pescados de Mercasevilla suscribió con GESICO SISTEMAS, S.L., en fecha de 29 de julio de 2013, contrato de prestación de Servicios, para la gestión de cobro de las facturas emitidas y que amparan las operaciones diarias, con efectos desde el 13 de agosto de 2013, fecha en que cesó la actividad Mercasevilla en la prestación de dicho Servicio. Desde esa fecha, cada uno de los compradores que operan en el Pabellón de Pescados de Mercasevilla tiene suscrito un contrato de compra mediante tarjeta, que en función de los avales presentados se fijan las condiciones de crédito aplazado para el pago de sus facturas, operativa que es la habitual en la inmensa mayoría de plataformas de distribución de Pescados, ya sean Lonjas o Mercados de Segundas Ventas.  En el Anexo II, del contrato anteriormente citado se hace constar: "10.- ALTA DE CLIENTES.- Todos los clientes deberán estar dados de alta por GESICO, y para ello deberán aportar todos los datos personales, fiscales, y de control necesarios para la incorporación a este proceso de cobros y pagos, aceptando su inclusión en los ficheros correspondientes, de conformidad con lo dispuesto en la Ley de Servicios de la Sociedad de la Información y Comercio Electrónico aprobada por el Parlamento Español y de la Ley Orgánica 1513/12/1999 de Protección de Datos. ...". "11.- CONFIDENCIALIDAD.- GESICO mantendrá la confidencialidad de los datos e información que le sea suministrada tanto por los clientes, como por la Asociación, obligándose a comunicar y trasladar dicha confidencialidad a sus propios empleados y técnicos que por razón de los servicios contratados puedan tener acceso a la misma, por lo que no podrá revelar dichos datos, sin haber obtenido previamente consentimiento de sus titulares." C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) regula el principio del consentimiento del interesado para el tratamiento de sus datos, en el que se dispone lo siguiente: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. De acuerdo a lo establecido por la LOPD, como hemos visto en el punto anterior, el consentimiento se erige como una de las piedras angulares del principio de protección de los datos de carácter personal. Así, el tratamiento de los datos del particular por parte de un tercero, en principio, sólo se puede llevar a cabo en el caso de que el titular de los mismos autorice dicho tratamiento, estableciéndose la posibilidad de que dicha autorización sea revocada en cualquier momento. Sin embargo, a lo largo de la LOPD se prevén determinados casos en los que el tratamiento de los datos de un particular no requiere del consentimiento que es exigido como regla general. Un ejemplo de dicho caso se da cuando aquél que realiza el tratamiento está ligado al titular de los mismos mediante una relación contractual. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 Con carácter previo a analizar el contenido de la denuncia resulta oportuno precisar que, el régimen de actividad y funcionamiento de Mercasevilla se encontraba regulado en los Reglamentos de Prestación del servicio de mercado de mayoristas y mataderos y de Régimen interior y normas de funcionamiento de los mercados centrales y mataderos (B.O. de la Provincia de Sevilla nº 239 de 15 de octubre de 1986). Los citados cuerpos normativos determinan las condiciones en las que se prestaba el servicio y las condiciones que las empresas que colaboran en el mismo debían cumplir. Concretamente el artículo 67 del Reglamento de Régimen interior establecía los servicios a prestar por Mercasevilla entre los cuales se encontraban el “servicio de pesaje, facturación, cobro de su importe a minoristas y pago a mayoristas”. En fecha de 29/05/2013 el Excmo. Ayuntamiento de Sevilla aprobó el nuevo reglamento de Prestación de servicio de Mercados Mayoristas de Mercasevilla S.A. y de Régimen interior y normas de funcionamiento de los Mercados Centrales. El citado cuerpo normativo modifico sustancialmente el cuadro de servicios contenidos en los Reglamentos aprobados en el año 1986, suprimiendo los servicios de facturación y cobro. En el presente caso, se ha de analizar la relación existente entre los minoristas que operan en el Mercado y la Asociación de Mayoristas. En primer lugar, se ha de indicar que los minoristas adquieren sus mercancías a los mayoristas, surgiendo una relación contractual entre ellos que habilita al tratamiento de sus datos, dado que de lo contrario no se podrían llevar a cabo las labores relativas de facturación y cobro. En este sentido se ha de significar que los minoristas de pescado no son clientes de Mercasevilla, son clientes de cada uno de los Mayoristas de Pescado, disponiendo Mercasevilla de los datos de los minoristas como consecuencia de la prestación de servicios de facturación y cobro que les atribuía el Reglamento interno del año 1986, en virtud del cual Mercasevilla facturaba y cobraba al minorista por cuenta del Mayorista. El cambio normativo motivo un conflicto colectivo que derivó en una serie de jornadas de huelgas. Como consecuencia del citado conflicto y ante la imposibilidad de llevar a cabo la facturación y el cobro de las mercancías, los Mayoristas de Pescado solicitaron de forma individual a través de su Asociación a Mercasevilla los datos de sus propios clientes relativos a las facturas pendientes de cobro en los días de huelga para que GESICO SISTEMAS S.L. pudiera realizar el cobro de los mismos. La actuación descrita en el párrafo precedente es calificada por el denunciante como una cesión ilícita de datos, basando la misma en que la facturación de los periodos de huelga realizada por GESICO solamente pudo llevarse a cabo mediante la cesión o volcado de datos efectuado por Mercasevilla, habida cuenta de que ningún minorista facilito sus datos a GESICO. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 En lo que respecta a las actuaciones llevadas a cabo por MERCASEVILLA y por GESICO relativas a la facturación y cobro de las mercancías vendidas, se ha de indicar que el artículo 12 de la Ley LOPD, al respecto del acceso a los datos por cuenta de terceros, establece: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento”. “2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar”. “3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento”. “4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”. En el presente supuesto, no se aprecia la cesión de datos denunciada, en la medida en la que una vez finalizados los servicios de facturación y cobro que llevaba a cabo Mercasevilla, la entidad propietaria de los datos de sus clientes los “Mayoristas de Pescado” solicitan la devolución de los datos de sus compradores para su posterior entrega a la nueva entidad que le prestaría los servicios de facturación y cobro. Por todo lo cual, se ha de concluir que no se aprecia la cesión de datos denunciada. No obstante y sin perjuicio de lo anteriormente expuesto se ha de indicar que GESICO SISTEMAS S.L no materializo en un primer momento el contrato de prestación de servicios por escrito, sino como un encargo verbal. Respecto a esta actuación, resulta procedente indicar que el artículo 12 de la LOPD exige que la relación contractual debe constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido. Por su parte el artículo 44.2
2. d)califica como infracción leve “la transmisión de datos a un encargado del tratamiento sin dar cumplimiento de los deberes formales establecidos en el artículo 12 de la LOPD”. En este sentido, se ha de señalar que la contratación verbal suscrita entre la Asociación de Mayoristas y GESICO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 no cumple con los parámetros exigidos por la normativa de protección de datos, cometiendo la Asociación de Mayoristas la infracción del artículo 44.2 d), hasta que en fecha de 29 de julio de 2013 suscribió por escrito el contrato que vinculaba a las partes. No obstante, la citada infracción se encontraría prescrita en la medida en la que el art. 47 de la LOPD establece en un año el plazo de prescripción de las infracciones leves. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a Asociación de Mayoristas del Mercado Central de Pescados “El Barranco” de Mercasevilla, GESICO SISTEMAS, MERCADOS CENTRALES DE ABASTECIMIENTO DE SEVILLA S.A. y a A.A.A. . De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es