E-07938-2019

1/5 1029-031019  N/Ref.: E/07714/2019 - E/07938/2019 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante VINCCI HOTELES S.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 24/04/2019 y con número de registro de entrada 021097/2019, tuvo entrada en esta Agencia una reclamación contra VINCCI HOTELES S.A., por una presunta vulneración del art. 5 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en adelante, RGPD) En particular, por las siguientes circunstancias:  El reclamante ha descubierto con fecha 08/04/2019 una gran cantidad de documentación con datos de carácter personal (más de 380 CVs) procedente de la empresa reclamada, parte de ellos dispersos y visibles en la vía pública, y parte de ellos dentro de un contenedor de reciclaje de papel/cartón.  La documentación ha sido encontrada en C/La Milagrosa, Málaga, a espaldas de uno de los establecimientos del hotel.  El reclamante es capaz de asegurar que los documentos proceden del establecimiento hotelero, ya que él mismo trabaja allí y conoce a varios de los empleados cuyos CV han sido expuestos en la vía pública. El reclamante aporta una gran cantidad de los documentos encontrados en la calle, tanto en PDF como en formato vídeo. SEGUNDO: Con fecha 08/08/2019 se admitió a trámite la reclamación tras superarse el plazo de 3 meses establecido en el art. 65.5 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, la LOPDGDD), y se notificó al reclamante. TERCERO: Se realizó un requerimiento de información a VINCCI HOTELES S.A. con fecha 16/08/2019 para que procediera al análisis de la reclamación y diera respuesta a esta Agencia en el plazo de un mes. Asimismo, se solicitó al reclamado: causa de la incidencia que ha originado la reclamación; medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia; y, por último, detalle de la decisión adoptada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 CUARTO: En respuesta a dicho requerimiento, se ha recibido en esta Agencia escrito de VINCCI HOTELES S.A. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD), de plena aplicación desde el 25 de mayo de 2018, reconoce a cada autoridad de control, es competente para resolver esta reclamación la Directora de la Agencia Española de Protección de Datos, de conformidad con el artículo 12.2, apartados

1. i)y
2. j)del Real Decreto 428/1993, de 26 de marzo, por el que se aprueba el Estatuto de la Agencia de Protección de Datos (en adelante, RD 428/1993) y la Disposición transitoria primera de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). II De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de las mismas. Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del mismo texto legal, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. III De conformidad con la normativa expuesta, se realizó un requerimiento de información a VINCCI HOTELES S.A. para que procediera al análisis de la reclamación y diera respuesta a esta Agencia en el plazo de un mes. Asimismo, se solicitó al reclamado: causa de la incidencia que ha originado la reclamación; medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia; y, por último, detalle de la decisión adoptada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 En respuesta a dicho requerimiento, se ha recibido en esta Agencia escrito de VINCCI HOTELES S.A. que, por lo que aquí interesa, manifiesta lo siguiente: Consideran improbable que la documentación encontrada en la vía pública proceda del establecimiento hotelero de su titularidad, puesto que prohíben expresamente, y así lo hacen firmar en un documento de Funciones y Obligaciones a todos sus empleados, que se tiren documentos en contenedores en la vía pública, con la advertencia de que, de hacerlo así, se podría incoar expediente disciplinario laboral muy grave. Adicionalmente, en la propia operativa de los hoteles se cumple con la instrucción clara de desechar todos los documentos confidenciales o que puedan contener datos personales a través de las papeleras dispuestas en el back-office de los establecimientos. Cuando dichos contenedores se llenan, el personal designado para ello los vacía, destruye los documentos por medio de las destructoras de documentos o por medios que impidan la identificación de los datos personales. Los desechos se eliminan a través del servicio contratado con una empresa externa de recogida y destrucción asegurada de documentos. Pese a que a que continuamente se insiste a los trabajadores en tratar este tipo de documentación conforme a las instrucciones y protocolos que rigen en la empresa, siempre recuerdan que, si algún empleado se encuentra tirado algún documento con datos personales o de la empresa, bien dentro de las dependencias o, en el peor de los casos, en el exterior, como el supuesto caso que nos ocupa, lo comuniquen de inmediato a la empresa, a fin de tomar las medidas oportunas. Con respecto a la gestión de los CVs, informan de que, desde mayo de 2018, no se almacenan CVs físicos en ninguna dependencia de los establecimientos de la empresa reclamada, porque han habilitado un buzón de correo electrónico para recibirlos y almacenarlos. Solamente podrían estar almacenados los CVs físicos anteriores a dicha fecha, si bien solamente serían los de exempleados, ya que los CVs de empleados actuales están todos ya digitalizados o trasladados a los establecimientos en los que actualmente estuvieran prestando sus servicios. Concretamente, en relación con el establecimiento involucrado en el caso objeto de la reclamación, han podido averiguar que los CVs de los trabajadores de plantilla se conservan, por un lado, en un archivo físico cerrado bajo llave, depositada en un cajón del departamento de Administración, y a la cual solo tienen acceso el Jefe de Administración y el Director del Hotel; y por otro lado, digitalizados en unas carpetas a las que solo tiene acceso el Departamento de Recursos Humanos, el Departamento de Administracion del hotel, y el Director. No les resulta, por tanto, verosímil, que se hayan encontrado “multitud de currículums” tirados en la calle, salvo por negligencia culpable de alguna de las personas que custodian la documentación – lo que parece altamente improbable dados los controles que están dispuestos y por el personal restringido que tiene acceso a los mismos –o bien actuación culpable de algún trabajador con manifiesto propósito de perjudicar a la empresa, por medio de hurto o robo de los documentos aprovechando algún descuido en el control de acceso, copia o fotocopia de los mismos, y su posterior desechado en la vía pública para su posterior denuncia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 IV En este caso, teniendo en cuenta que la reclamación se presentó en esta Agencia en fecha 24/04/2019, procede su tramitación con arreglo a lo dispuesto en el Título VIII de la citada norma. Este Título VIII dispone en su artículo 68.1, referido al acuerdo de inicio del procedimiento para el ejercicio de la potestad sancionadora que, concluidas, en su caso, las actuaciones previas de investigación, corresponderá a la Presidencia de la Agencia Española de Protección de Datos, cuando así proceda, dictar acuerdo de inicio de procedimiento para el ejercicio de la potestad sancionadora. Una vez analizadas las razones expuestas por VINCCI HOTELES S.A., que obran en el expediente, se ha constatado la falta de indicios racionales de la existencia de una infracción en el ámbito competencial de la Agencia Española de Protección de Datos, no procediendo, en consecuencia, la apertura de un procedimiento sancionador. Se ha de tener en cuenta que al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. Este principio se encuentra expresamente recogido para los procedimientos administrativos sancionadores en el artículo 53.2.
3. b)de la Ley 39/2015, de 1 de octubre, de Procedimiento Administrativo Común de las Administraciones Públicas, que reconoce al interesado el derecho “A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario” En definitiva, la aplicación del principio de presunción de inocencia impide imputar una infracción administrativa cuando no se hayan obtenido evidencias o indicios de los que se derive la existencia de infracción. En este caso, de las actuaciones realizadas y de la documentación obrante en el procedimiento no se infiere la existencia de una actuación infractora por parte del responsable del tratamiento en el ámbito competencial de la Agencia Española de Protección de Datos, toda vez que no existen indicios racionales de los que pueda desprenderse que fue el reclamado el que realizó los hechos puestos de manifiesto por el reclamante, por lo que procede el archivo de la reclamación presentada contra VINCCI HOTELES S.A. Añadir a lo razonado, que la conservación de datos constituye un tratamiento de datos personales, de conformidad con lo dispuesto en el artículo 4.2 del RGPD, y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 que dicho tratamiento ha de estar amparado en alguna de las bases de legitimación que contempla el art. 6 del RGPD. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de la reclamación presentada contra VINCCI HOTELES S.A. SEGUNDO: NOTIFICAR la presente Resolución al RECLAMANTE y a VINCCI HOTELES S.A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
4. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es