E-08795-2018

1/6 Expediente Nº: E/08795/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad UTE 12 DE OCTUBRE en virtud de denuncia presentada por Don A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 06/08/2018 tuvo entrada en esta Agencia escrito de Don A.A.A. (en lo sucesivo el denunciante) frente a la entidad UTE 12 DE OCTUBRE en lo sucesivo (el/la denunciado/

1. a)en el que en cuatro apartados plasma lo siguiente: “Que no se incluye identidad del responsable del fichero ni domicilio ante el que ejercitar los derechos de acceso y cancelación. “No existe cartel de video-vigilancia en los accesos peatonales, solo existe el que se incluye en el apartado primero (…) “No existe a disposición de los interesados impresos en que se detalla la información prevista en el artículo 5.1 LOPD (…)” “No se ha firmado ninguna cláusula de protección de datos por parte de los trabajadores, salvo la que se incluye”. SEGUNDO: En fecha 05/10/2018 se procede al TRASLADO de la reclamación a la entidad denunciada UTE 12 de Octubre, constando como notificado en los sistemas informáticos de este organismo. TERCERO: En fecha 07/11/2018 se recibe contestación de la entidad UTE 12 de octubre, manifestando lo siguiente: “A partir de ese día el Sr. A.A.A. solicita copia de las grabaciones de las imágenes del accidente, en este sentido mi representada le explicó al denunciante que no había copia de almacenamiento de imágenes a que tuviera acceso mi representada UTE 12 de Octubre y que la zona dónde sucedió el atropellamiento, se encuentra video-vigilada por otros sistemas de seguridad ajenos al 12 de Octubre. En tercer lugar, debe hacerse constar que el Sr. A.A.A. en fecha 24/07718 solicita mediante correo electrónico al Coordinador del contrato, información sobre el Delegado de Protección de Datos (..) balance de cuenta de resultados; información relativa al pago de las cuotas de la Seguridad Social (…) En cuarto lugar, con fecha 06 de agosto de 2018, sin haber transcurrido un plazo prudencial y pertinente para que la Compañía pudiera hacer efectiva su solicitud, el Sr. A.A.A. se dirige a esa Agencia denunciando una serie de hechos (…). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 Respecto a la manifestación de que NO se incluye la identidad del responsable del fichero (…). Cabe mencionar que el UTE 12 de Octubre, es una empresa firmemente comprometida con el cumplimiento de los principios y derechos fundamentales de protección de datos (…) ...en todo el recinto hospitalario existen carteles de video-vigilancia, en dónde se indica el responsable de la instalación y la forma de dirigirse para ejercitar los derechos ARCO, tal y como lo establece la normativa vigente. En relación a que NO existe cartel de video-vigilancia en todos los accesos peatonales (…) …en todo el recinto hospitalario se cumple cabalmente con esta información, sino también la particularidad que existen dos empresas que gestionan de forma independiente la video-vigilancia. A este respecto cabe destacar que los carteles de video-vigilancia se encuentran ubicados en todos los acceso a las zonas video-vigiladas, ya sean estas gestionadas por el Hospital o por la UTE 12 de octubre (…). Se acompaña como Doc. nº 4 fotografías de los carteles ubicados en los accesos a las zonas video-vigiladas. Como ya se ha mencionado anteriormente, mi representada cuenta con esta información plasmada de forma plenamente visible en los carteles informadores en las entradas vehiculares del parking (…). Consta acreditado que mi representada cumple con la obligación de informar en sus carteles anunciadores y en sus carteles de tarificación (…) dado que la finalidad única del uso de sistemas de video-vigilancia, como hemos mencionado radica en controlar posibles incidencias. Respecto a la denuncia que NO se ha firmado ninguna clausula de protección de datos por parte de los trabajadores. A tal efecto, cabe hacer mención que UTE 12 Octubre en materia de protección de datos cumple con su deber de información tanto para con sus empleados como para sus usuarios. En este sentido, debemos recordar que tanto el art- 6.2 LOPD, que recoge como excepción a la obtención del consentimiento “cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sea necesario para su mantenimiento o cumplimiento”, como el artículo 6 del Reglamento General de Protección de Datos que se pronuncia en idéntico sentido (…). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 A la Agencia Española de protección de Datos, Solicita se sirva admitir el presente escrito, junto con los documentos que se acompañan (…) y en sus merito a tener por cumplimentado el requerimiento de información del E/08795/2018. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II En fecha 06/08/18 se recibe escrito de la parte denunciante por medio del cual traslada denuncia contra la entidad UTE 12 de Octubre manifestando lo siguiente: “Que no se incluye identidad del responsable del fichero ni domicilio ante el que ejercitar los derechos de acceso y cancelación. “No se ha firmado ninguna cláusula de protección de datos por parte de los trabajadores, salvo la que se incluye”. Junto con su “reclamación” aporta copia de una cláusula adicional de un documento contractual, del que no se aporta la copia íntegra. El artículo 66 de la Ley 39/2015 (1 octubre) dispone lo siguiente: “Las solicitudes que se formulen deberán contener:
2. c)Hechos, razones y petición en que se concrete, con toda claridad, la solicitud. (…)”. En el documento aportado, contrariamente a lo manifestado se indica que el responsable del fichero es UTE 12 de octubre. El artículo 4 apartado 7º del RGPD (Reglamento UE 2016/679) define el responsable en los siguientes términos: “«responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. Por tanto, será ante esta entidad ante la que deba ejercitar en su caso los derechos reconocidos en los artículos 15 a 22 RGPD, coincidiendo la dirección efectiva con el domicilio social de la misma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 La falta de concreción de los “hechos” en los que se fundamenta la solicitud, impiden a este organismo llegar a conocer con exactitud qué es lo que realmente se está denunciado. La parte denunciante tampoco aporta prueba documental (vgr. fotografía con fecha y hora) en relación a las cámaras de video-vigilancia que manifiesta que graban, ni acredita la ausencia de cartel informativo al respecto. En relación a los carteles informativos, no es necesario la presencia de uno al lado de cada cámara, bastara con un distintivo informativo en zona visible (por ejemplo, en la puerta de acceso principal) indicando el responsable ante el que poder dirigirse. La Instrucción 1/2006 (AEPD), 8 de noviembre, en su artículo 3 letra
3. a)dispone: “Colocar, en las zonas videovigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados (…)” Sería recomendable que previamente se dirija al Delegado de Protección de datos de la empresa o en su caso al responsable del tratamiento de los datos, aportando en su caso la respuesta que pudiera otorgarle en relación a los presuntos “problemas” que plantea. En relación a la única prueba que aporta, fechada en noviembre del año 2017, de la misma no se infiere infracción administrativa alguna en el marco de la protección de datos, pues le informa con una Legislación (derogada a día de le fecha), que sus datos en caso de firma contractual- contrato obra y servicio- pasan a un fichero bajo la responsabilidad de UTE 12 de Octubre y de la posibilidad de ejercitar los derechos ARCO ante la misma. No consta que se haya dirigido a la empresa (responsable) ejercitando un derecho ARCO y la misma no le haya otorgado respuesta alguna o la misma sea insatisfactoria a los efectos administrativos oportunos. No es posible concretar si la ausencia de identificación del responsable se refiere a la ausencia del mismo en cartel informativo o en la parte del documento que por presunto “error” aporta a este organismo. Por tanto, la cuestión que plantea como infracción administrativa, no es posible precisarla, ni acreditarla con los escasos medios de prueba aportados. El artículo 89 de la Ley 39/2015 (1 octubre) dispone lo siguiente: “El órgano instructor resolverá la finalización del procedimiento, con archivo de las actuaciones, sin que sea necesaria la formulación de la propuesta de resolución, cuando en la instrucción procedimiento se ponga de manifiesto que concurre alguna de las siguientes circunstancias: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6
4. b)Cuando los hechos no resulten acreditados. (…)”. Cuando se firma un contrato (laboral en este caso), sus datos deben pasar a un fichero bajo la responsabilidad de la Empresa contratante o tercero (encargado del tratamiento) que esta designe, debiendo estar informado en todo caso el trabajador de las disposiciones en materia de protección de datos y adoptando esta las medidas necesarias para la protección y custodia de los mismos. En todo caso se le debe informar al menos, de los datos del responsable del tratamiento, fines del mismo, así como informarle debidamente del modo efectivo de ejercitar los derechos amparados en la normativa en vigor, debiendo de tener el correspondiente ejemplar a disposición del trabajador a los efectos legales oportunos. Lo anterior sin perjuicio de impugnar en su caso las cláusulas contractuales que estime abusivas o contrarias a derecho, ante el órgano competente de la jurisdicción laboral. III De acuerdo con lo expuesto, no consta acreditada a día de la fecha infracción administrativo alguna en el marco de la protección de datos, motivo por el que procede ordenar el ARCHIVO del presente procedimiento. Las explicaciones esgrimidas por la parte denunciada, junto con las pruebas documentales aportadas, no determinan una conducta contraria a la normativa en vigor en materia de protección de datos, ni que derecho alguno se haya visto afectado en actuación concreta y determinada. Consta acreditado la disponibilidad de cartel (
5. es)informativo indicando el responsable y la forma de ejercitar los derechos ARCO, no consta lesión a derecho alguno en la materia que os ocupa (una respuesta motivada manifestando la ausencia de imágenes se considera suficiente) y la clausula contractual es la básica en los contratos de este tipo debidamente formalizados. Respecto a la información se recuerda que la entidad responsable del sistema debe disponer de formulario (
6. s)a disposición del afectado, que pretenda ejercitar su derecho de acceso a las imágenes, no bastando con que se informe en el cartel informativo del responsable ante el que poder dirigirse. Lo anterior no impide que el afectado (
7. a)se pueda dirigir mediante solicitud debidamente cumplimentada y explicada al responsable, ejercitando en su caso los derechos reconocidos en la Legislación en vigor. De manera que, en base a lo expuesto, no queda acredita comisión de infracción administrativa alguna en el marco de la protección de datos. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a UTE 12 DE OCTUBRE y a Don A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es