E-08669-2020

1/6  Procedimiento Nº: E/08669/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por Doña A.A.A. (en adelante, la reclamante) tiene entrada con fecha 22 de junio de 2020 en la Agencia Española de Protección de Datos. La reclamación se dirige contra el CLUB DE FÚTBOL BADALONA, con NIF G58325820, la FUNDACIÓN FÚTBOL BADALONA, y sus ***CARGO.2s (en adelante, el reclamado). Los motivos en que basa la reclamación son, en síntesis, los siguientes: La reclamante, que ha desempeñado el ***CARGO.1 bajo la dependencia simultánea de C.F. BADALONA y FUNDACIÓ FÚTBOL BADALONA hasta su despido con fecha 5 de diciembre de 2019, denuncia que el ***CARGO.2 del club, convocó el 22 de julio de 2019 una reunión de trabajadores de ambas entidades, incluidos patronos de la Fundación, para difundir el contenido de un Burofax que ella había remitido mientras se encontraba de baja laboral, reportando una situación de acoso moral y discriminación por razón de sexo, y solicitando la activación del protocolo correspondiente, para que se investigaran los hechos y cesaran éstos cuando se reincorporara a su puesto. El ***CARGO.2 leyó en voz alta al contenido literal del Burofax, y desveló así el estado de salud de la reclamante, de manera intencionada y consciente, violando así su derecho a la intimidad. La reclamante señala también que, debido a que el ***CARGO.2 es de profesión informático y titular de una sociedad dedicada a este sector, existen sospechas fundadas de que accede asiduamente a los correos electrónicos de los empleados, que y también tiene instaladas cámaras y micrófonos con el propósito de espiar su actividad diaria. Junto a la reclamación aporta copia del burofax enviado. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con número de referencia E/05536/2020, se dio traslado de dicha reclamación al reclamado, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha de 28 de septiembre de 2020 se recibe en esta Agencia escrito contestando a la solicitud de información efectuada, y en el que exponen lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 Que en lo que respecta a las revelaciones de datos personales que denuncia la reclamante, sólo manifiestan que "las causas que han motivado la incidencia que ha dado origen a la reclamación residen en un procedimiento judicial por despido objetivo individual, que ha sido resuelto por el Auto nº 36/2020, de 15 de septiembre, en virtud del que se aprueba el acuerdo al que llegaron las partes.". No añade nada más a este respecto. Sobre lo relativo al sistema de videovigilancia informa de que se instalaron en el momento de su construcción con el propósito de dar seguridad al equipamiento. La grabación de imágenes sólo se realiza cuando se activa la alarma, y una vez activada, sólo registran imágenes cuando se activan por medio de un detector volumétrico de presencia. Las imágenes están bajo la custodia del personal encargado del mantenimiento de la instalación deportiva y del Ayuntamiento como titular de la instalación. El mantenimiento de las cámaras lo lleva a cabo una empresa de seguridad contratada a través de una encomienda de gestión. Con respecto a los correos electrónicos, informan de que la empresa que les proporciona el servicio de alojamiento de sus portales web y de su infraestructura de correo electrónico, CDMon (10DENCEHISPAHARD S.L.), cumple con el RGPD, y aportan un certificado expedido por un despacho de abogados, Lant Advisors SLP, acreditándolo. La empresa encargada del tratamiento que gestiona las cuentas de correo es MSR INFORMÁTICA (en adelante, MSR). El panel de administración que ofrece CDMon no permite visualizar las contraseñas de los usuarios. Proporcionan copia del contrato de encargo del tratamiento, por el cual MSR presta los servicios de mantenimiento informático, reparación de sistemas y asistencia técnica al equipo de fútbol. Y adjunta el siguiente documento: - Certificado del Ayuntamiento de Badalona acreditando la finalidad y responsabilidad de las cámaras, su funcionamiento y su mantenimiento, firmado por el Jefe de Servicios de Deporte y Juventud del Ayuntamiento De Badalona. TERCERO: Con fecha 21 de octubre de 2020, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: ~ Solicitado a la reclamada que informara sobre la finalidad de la lectura del burofax que contenía datos referentes al estado de salud de la reclamante en la junta con la Fundación Fútbol Badalona y el Club de Fútbol Badalona, con fecha de 15 de marzo de 2021 se recibe en esta Agencia escrito de contestación aportando tres declaraciones de trabajadores del departamento de secretaria en virtud del que afirman que nunca se ha leído un burofax en público o en su presencia. Y adjuntan los siguientes documentos relevantes: - Copia del burofax remitido por la reclamante, dirigido a la Fundación Futbol Badalona, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 Club Futbol Badalona, al ***CARGO.2 del Club reclamado y a otro. En esta copia del burofax se constata que la reclamante hace referencia a su estado de salud. - Acuerdo de despido alcanzado entre las partes ante el Juzgado de lo Social nº 24 de Barcelona con fecha de 15 de septiembre de 2020. En este acuerdo, no se hace mención alguna a su situación de salud. Solo queda recogida una posible situación de acoso laboral. - Las referidas tres declaraciones de trabajadores del departamento de secretaria. Hay que destacar que dos de estas declaraciones están realizadas por trabajadoras que estuvieron presentes en la reunión de la junta directiva referida por la reclamante como momento en que se produjeron los hechos reclamados. En estas declaraciones se recoge, entre otros aspectos, lo siguiente: “3.- Que en fecha 29 de julio de 2019 el ***CARGO.2 del club, el Sr. […], comunicó el cese de [la reclamante], pero no manifestó delante de los trabajadores ni Junta Directiva los motivos al respecto, así como tampoco se hizo pública ninguna comunicación de la trabajadora dirigida al club, fundación o junta directiva.” ~ Respecto al supuesto acceso a los correos electrónicos de la compañía que la indica la reclamante, se comprueba que el administrador único de la entidad MSR es el propio ***CARGO.2 del club reclamado. No obstante, no consta en esta Agencia evidencia alguna de que este hecho se haya producido. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II La reclamación se concreta en que el ***CARGO.2 del club de fútbol en el que trabajaba la reclamante, durante una reunión de trabajadores, celebrada el 22 de julio de 2019, difundió el contenido de un Burofax que ella había remitido mientras se encontraba de baja laboral, reportando una situación de acoso moral y discriminación por razón de sexo, y solicitando la activación del protocolo correspondiente, para que se investigaran los hechos y cesaran éstos cuando se reincorporara a su puesto. El ***CARGO.2 leyó en voz alta al contenido literal del Burofax, y desveló así el estado de salud de la reclamante, de manera intencionada y consciente, violando así su derecho a la intimidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 La reclamante indica que, debido a que el ***CARGO.2 del club de fútbol es de profesión informático y titular de una sociedad dedicada a este sector, existen sospechas fundadas de que accede asiduamente a los correos electrónicos de los empleados, que y también tiene instaladas cámaras y micrófonos con el propósito de espiar su actividad diaria. En relación a la posible vulneración del deber de secreto cometida por el reclamado al poner en conocimiento de terceros datos de salud de la reclamada durante una reunión al leer un burofax en el que se ponían de manifiesto una situación de posible acoso y los problemas de salud que le habían ocasionado, vulnerándose el deber de confidencialidad, el artículo 5 del RGPD referente a los principios relativos al tratamiento, establece que: “1. Los datos personales serán: (…)

1. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). (…)” También el artículo 5, Deber de confidencialidad, de la LOPDGDD, señala que: “1. Los responsables y encargados del tratamiento de datos, así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
2. f)del Reglamento (UE) 2016/679. 2. La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable. 3. Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento”. La puesta en conocimiento de terceros del estado de salud de la reclamante, mediante la lectura de su propio burofax en la reunión celebrada el día 22 de julio de 2019, no se ha podido determinar con certeza, ya que el reclamado ha aportado la declaración de tres trabajadores (dos de ellos relacionados como asistentes por la reclamada) que indican que no se hizo público ningún dato sensible de la reclamante. III Indica la reclamante que se han instalado cámaras de videovigilancia por parte del reclamado para espiarles. El sistema de videovigilancia se instaló en el momento de la construcción del Club de fútbol con el propósito de dar seguridad al equipamiento. La grabación de imágenes sólo se realiza cuando se activa la alarma, y una vez activada, registran imágenes cuando se activan por medio de un detector volumétrico de presencia. Las imágenes están bajo la custodia del personal encargado del mantenimiento de la instalación deportiva y del Ayuntamiento como titular de la instalación. Además de lo señalado, no se aporta ningún indicio de lo expuesto por la reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 En cuanto al acceso a los correos electrónicos de los trabajadores del reclamado, se ha comprobado que el administrador único de la empresa que les proporciona el servicio de alojamiento de sus portales web y de su infraestructura de correo electrónico es el propio ***CARGO.2 del club reclamado. Pero no existe ninguna evidencia de que este hecho se haya producido. La presunción de inocencia rige sin excepciones en el Ordenamiento sancionador y ha de ser respetada en la imposición de cualquier sanción, ya sea penal o administrativa (TC 13/1981), pues el ejercicio del derecho sancionador en cualquiera de sus manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propia posiciones. Conforme a este principio, no puede imponerse sanción alguna en razón de la culpabilidad del reclamado si no existe una actividad probatoria de cargo, que, en la apreciación de las autoridades u órganos llamados a resolver, destruya esta presunción (TC Auto 3-12-81). El Tribunal Constitucional (SSTC 131/2003 y 242/2005, por todas) se ha pronunciado en ese sentido al indicar que una de las exigencias inherentes al derecho a la presunción de inocencia es que la sanción esté fundada en actos o medios probatorios de cargo o incriminadores de la conducta imputada y que recae sobre la Administración pública actuante la carga probatoria de la comisión del ilícito administrativo y de la participación en él del denunciado. Por su parte, el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público establece como uno de los principios de la potestad sancionadora el de la “Responsabilidad”, determinando al respecto que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. Igualmente, se debe tener en cuenta lo que establece el artículo 53.2 la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, establece que: “Además de los derechos previstos en el apartado anterior, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables, tendrán los siguientes derechos: (…)
3. b)A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario”. Con arreglo a lo previsto en los preceptos anteriormente citados, procede acordar el archivo de estas actuaciones al no estimarse probado que por parte del reclamado se haya vulnerado la obligación de confidencialidad sobre los datos personales objeto de tratamiento, ni el acceso al contenido de los correos electrónicos de los trabajadores y su grabación con ánimo de espiarles mediante cámaras de videovigilancia. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
4. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es