E-06685-2017

1/6 Expediente Nº: E/06685/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la Consejería de Sanidad de Castilla y León, Gerencia de Salud de las Áreas de C.C.C., Complejo Asistencial B.B.B. en virtud de denuncia presentada por Dª. A.A.A. y teniendo como base los siguientes, HECHOS PRIMERO: Con fecha 7 de noviembre de 2017, tuvo entrada en esta Agencia un escrito de Dª. A.A.A. (en lo sucesivo la denunciante) en el que expone que presta sus servicios como cocinera en el Complejo Asistencial B.B.B.. Con fecha 23 de diciembre de 2015, se publicó en el tablón de anuncios de la cocina del Hospital una nota interior, por la que se ponía en conocimiento del personal de cocina, la posibilidad de realizar un curso on-line, gratuito, de manipulación de alimentos y dietética que sería desarrollado por la empresa NESTLE. Aporta copia de la Nota Interior. Los interesados debían poner en conocimiento de su responsable inmediato su intención de participar en el curso, para lo que debían facilitar los datos de nombre y apellidos y categoría profesional. Tras la solicitud se comunicaría a los interesados un código individual de acceso al curso y la dirección web a la que deberían acceder para realizarlo. Las solicitudes debían remitirse a la Subdirección de Gestión y Servicios Generales antes del 15 de enero de

1. La denunciante manifiesta que no realizo la solicitud del curso ni facilitó sus datos personales. No obstante, con fecha 21 de junio de 2016, recibió una carta personalizada, en la que le comunican el código de acceso y dirección para acceder al curso de la empresa NESTLE. Aporta copia de la carta recibida en la que se indica que la denunciante ha solicitado un curso gratuito on-line destinado a manipuladores de alimentos y desarrollado por NESTLE. Aunque ha solicitado información a sus superiores sobre su inscripción en el curso y el hecho de que se hayan facilitado sus datos a NESTLE, no ha recibido respuesta a su petición. Así mismo, la denunciante manifiesta que ha recibido correos de NESTLE aunque no aporta ninguno. Aporta copia del escrito remitido por la denunciante a NESTLE, con fecha 28 de julio de 2016, en el que solicita información sobre los datos personales que el Hospital ha facilitado a la empresa, sin su consentimiento y que posteriormente dichos datos sean cancelados, no obstante solicita que no sean cancelados los aportados por ella misma en promociones y concursos de NESCAFE. En la contestación de la empresa de fecha 30 de octubre de 2016, le informan de que han dado de baja sus datos en sus ficheros comerciales. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 21 de diciembre de 2017, desde el Complejo Asistencial B.B.B. perteneciente a la Gerencia de las Áreas de C.C.C., se ha remitido a la Agencia un informe elaborado por la Subdirección de Gestión y Servicios Generales del Hospital, de fecha 12 de diciembre de 2017, en el que se informa en relación con los hechos denunciados de lo siguiente:
2. Mediante nota interior, de la que aportan copia, se informó al personal que quisiera hacer el curso On-line desarrollado por NESTLE, que comunicara sus datos a sus superiores, quienes recogen verbalmente la información e informan a la Subdirección que contabiliza el número de peticiones.
3. Desde la Subdirección se solicita a NESTLE que le remita los códigos de acceso (innominados) que se necesitan según el número de solicitantes. En ningún momento se facilita a la empresa ningún dato personal de los trabajadores que iban a realizar el curso. Aportan copia de los correos electrónicos intercambiados con la empresa en los que se solicita un número de códigos de acceso sin que estén asociados a ningún trabajador, los cuales se reciben por el mismo medio.
4. La Subdirección remite una carta a cada uno de los trabajadores informándoles de su código de acceso (uno de los que les había facilitado la empresa). Las cartas se entregan en mano a los solicitantes. Aportan copia de la carta.
5. Respecto a las manifestaciones de la denunciante sobre el envío de datos personales de los trabajadores a NESTLE, desde la Subdirección se solicita información a la empresa para que confirme no haber recibido ningún dato y se solicita la apertura de un expediente a la denunciante remitiendo toda la información a la Inspección, mediante escrito del que aportan copia.
6. Aportan copia del escrito recibido de la empresa NESTLE en el que se pone de manifiesto que: a. No les consta que el hospital les haya facilitado datos personales de sus trabajadores, aunque no lo pueden certificar ya que en sus ficheros no disponen de un campo específico relacionado con el origen de los datos. b. Es posible que en sus ficheros figuren datos personales o profesionales de empleados del hospital que se hayan incorporado a los mismos por diferentes vías, pero para conocer el origen de cada uno de ellos, tendrían que conocer la identidad del mismo. c. Respecto al curso de manipulador de alimentos, confirman que no les consta que el hospital les facilitase la identidad ni ningún otro dato personal de ninguno de los trabajadores. d. Para el acceso al curso se facilitaron al Hospital el número de códigos innominados que les solicitaron para que fuera el propio hospital el que los asignara a los trabajadores. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6
7. El Hospital no dispone de información sobre si los trabajadores que recibieron la carta con el código de acceso realizaron o no la acción formativa, ya que fue decisión de cada trabajador. Con fecha 16 de enero de 2018, la GERENCIA DE SALUD DE LAS AREAS DE ***LOC.1, remite a esta Agencia la siguiente información sobre las actuaciones realizadas como consecuencia del escrito que les remitió el Hospital solicitando apertura de expediente relativo a la denunciante:
8. Con fecha 10 de enero de 2017, recibieron un escrito del Centro Hospitalario en el que se solicita la apertura de información previa en relación con el comportamiento de la denunciante durante la presentación de un curso que se realizó en el hospital el 21 de noviembre de 2016, les adjuntan una nota interior de la Subdirección de Gestión del centro en el que exponen que en la presentación del citado curso, la denunciante afirmó ante todos los asistentes, que el hospital había facilitado sus datos a NESTLE, según se informa, aunque le informaron de que no era cierto, el tono utilizado por la denunciante y las formas fueron de falta de respeto.
9. Con fecha 13 de enero de 2017, se remite toda la documentación recibida al departamento correspondiente para el inicio de la información reservada.
10. Entre los documentos que figuran en el expediente, se encuentran los correos electrónicos intercambiados con la empresa NESTLE, que coinciden con los aportados por el Hospital a la Agencia y donde no constan datos personales de los trabajadores que iban a realizar el curso.
11. Así mismo, figura un listado con la relación de los trabajadores admitidos al citado curso, entre los que se encuentra la denunciante.
12. En el informe final del expediente se indica que la propia denunciante en el escrito que remitió a NESTLE con fecha 28 de julio de 2016, reconoce haber sus datos en promociones de NESTLE, por lo que es probable que si ha recibido correos de la empresa fueran debidos a los datos que ella misma había proporcionado, por último se propone la apertura de expediente disciplinario a la denunciante. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 II El artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” Por otra parte, la LOPD regula en su artículo 4 el principio de calidad de datos que resulta aplicable al supuesto de hecho que se analiza. Este artículo debe interpretarse de forma conjunta y sistemática. El artículo 4.2 de la LOPD, señala lo siguiente: “
13. Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos”. El “principio de calidad”, que prohíbe utilizar datos de carácter personal para una finalidad incompatible o distinta de aquella para la que los mismos fueron recabados, se recoge en el Título II de la LOPD, como uno de los principios básicos de la protección de datos. Las “finalidades” a las que se refiere el transcrito apartado 2, están ligadas con el “principio de pertinencia” o limitación en la recogida de datos regulado en el artículo 4.1 de la misma Ley. Conforme a dicho precepto, los datos sólo podrán tratarse cuando “sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” En el presente caso la denunciante expone que en su centro de trabajo le han inscrito en un curso de formación sin que ella lo haya solicitado y que se han cedido sus datos personales a otra entidad para la realización del curso. En esta ocasión por un lado se tiene que el tratamiento de los datos personales de la denunciante por parte de su centro de trabajo resultan necesarios para el mantenimiento de la relación laboral que mantienen. Por otra parte, la inscripción de una empleada en un curso de formación, se considera una finalidad compatible con aquella para la que se recogieron los datos personales de la empleada: el mantenimiento de su relación laboral. De manera que se considera que están legitimados para la realización de ese tratamiento de sus datos. Respecto de la cesión de sus datos personales a la entidad que impartía el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 curso, ha quedado acreditado que el Complejo Asistencial B.B.B. solicitó los códigos de acceso necesarios para los empleados que iban a realizar el curso, sin que se cedieran datos de carácter personal de los empleados a la entidad realizadora del curso. En este caso concreto no existe constancia de que la entidad denunciada haya tratado los datos de carácter personal de su empleada para una finalidad incompatible para aquella para la que fueron recogidos, ni que los cediera a una tercera entidad para la realización de un curso, de manera que en esta ocasión no cabe imputar infracción alguna a la normativa de Protección de Datos de Carácter Personal. El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a la CONSEJERIA DE SANIDAD DE CASTILLA Y LEON - GERENCIA DE SALUD DE LAS AREAS DE C.C.C., y a Dª. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es