E-10394-2018

1/4 Procedimiento Nº: E/10394/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante RANDSTAD ESPAÑA S.L.U., en virtud de reclamación presentada por A.A.A. (en adelante, el reclamante) y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por el reclamante tiene entrada con fecha 8 de agosto de 2018 en la Agencia Española de Protección de Datos. La reclamación se dirige contra RANDSTAD ESPAÑA S.L.U., con NIF B85536134 (en adelante, el reclamado). Los motivos en que basa la reclamación son que RANDSTAD ESPAÑA S.L.U., no ha suprimido sus datos correctamente cuando debía haberlo hecho tras la solicitud explícita de la supresión de sus datos personales, formulada el 23 de junio de 2018, ya que el 8 de agosto de 2018 recibió un correo electrónico de dicha entidad solicitándole guardar sus datos personales y añadirlos a la base de datos porque consideraban que su perfil podría encajar con supuestos puestos de empleo SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, requiriendo para ello información a RANDSTAD ESPAÑA S.L.U., quien manifestó lo siguiente: Dentro del proyecto interno de adecuación al nuevo reglamento europeo de protección de datos, enviamos un correo electrónico a todos nuestros candidatos inscritos en el sistema CARERIX (dicho sistema da servicio a nuestra división de selección Randstad Professionals) pero que no estaban inscritos a través del sistema MyRandstad (este portal da servicio a todo el grupo Randstad en España). El objeto de este correo era obtener consentimiento explícito de los candidatos de CARERIX para usar sus datos personales en procesos de selección, que no era necesario en el caso de candidatos inscritos en MyRandstad, para los que Randstad ya recogía dicho consentimiento expreso en el proceso de alta en el sistema. Puesto que el reclamante ya se encontraba dado de alta en MyRandstad, esta primera notificación sólo le llegó debido a un error de la aplicación CARERIX que permitía introducir espacios en el campo de correo electrónico, de modo que cuando se cruzaron los registros de correo electrónico de ambas bases de datos (en adelante, BBDD), los correos en ambos sistemas no coincidían (“***EMAIL.1” frente a “***EMAIL.2 ” por ejemplo) y por tanto su correo (con espacios) entró en la lista de envíos para recabar consentimiento. En el caso de los clientes de email, estos sistemas por defecto utilizan la función que elimina estos espacios en las direcciones y por tanto el correo pudo llegar erróneamente aunque contuviese espacios. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 Las comunicaciones que el reclamante recibió el 26 de mayo y el 8 de julio fueron causadas por un error localizado en la aplicación CARERIX, de la que RANDSTAD es cliente pero sobre la que no tiene control ni en su desarrollo ni en su mantenimiento, aunque trabajamos constantemente con ellos para solucionar cualquier problema detectado por Randstad e implementar constantes mejoras en los procesos de selección de candidatos. El problema encontrado fue resuelto a las pocas horas de su detección y ya se ha corregido la posibilidad de introducir estos espacios, por lo que todas las medidas preventivas ya han sido implementadas y las medidas correctivas se implementaron en un muy breve espacio de tiempo. Adicionalmente, modificamos nuestros procedimientos hace meses para que la notificación de baja no sea lanzada automáticamente cuando se ejecuta una supresión de datos como ejercicio de derechos, de modo que no se generen malentendidos al duplicarse los correos. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de estas. Asimismo, el artículo 9.3 del Real Decreto-ley 5/2018, de 27 de julio, de medidas urgentes para la adaptación del Derecho español a la normativa de la Unión Europea en materia de protección de datos, establece que “la Agencia Española de Protección de Datos podrá inadmitir la reclamación cuando el responsable o encargado del tratamiento, previa advertencia formulada por la Agencia, hubiera adoptado las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos y concurra alguna de las siguientes circunstancias:

1. a)Que no se haya causado perjuicio al afectado.
2. b)Que el derecho del afectado quede plenamente garantizado mediante la aplicación de las medidas.” Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del RGPD, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Del mismo modo, el ordenamiento jurídico interno también prevé la posibilidad de abrir un período de información o actuaciones previas. En este sentido, el artículo 55 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, otorga esta facultad al órgano competente con el fin de conocer las circunstancias del caso concreto y la conveniencia o no de iniciar el procedimiento. III En el presente caso, se ha recibido en esta Agencia la reclamación presentada por A.A.A. contra RANDSTAD ESPAÑA S.L.U., por una presunta vulneración del artículo 17 del RGPD que garantiza el derecho de supresión de los datos personales sin dilación indebida por parte del responsable del tratamiento, cuando los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o bien cuando se retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico. En concreto se denuncia que RANDSTAD ESPAÑA S.L.U., no ha suprimido sus datos correctamente cuando debía haberlo hecho tras la solicitud explícita de la supresión de sus datos personales, formulada el 23 de junio de 2018, ya que el 8 de agosto de 2018 recibió un correo electrónico de dicha entidad solicitándole guardar sus datos personales y añadirlos a la base de datos. Tras averiguar RANDSTAD ESPAÑA S.L.U., que las comunicaciones que el reclamante recibió fueron causadas por un error localizado en la aplicación CARERIX, de la que RANDSTAD es cliente pero sobre la que no tiene control ni en su desarrollo ni en su mantenimiento, se considera oportuno archivar la presente reclamación al haber afirmado RANDSTAD ESPAÑA S.L.U., que “el problema encontrado fue resuelto a las pocas horas de su detección por lo que todas las medidas preventivas ya han sido implementadas. Adicionalmente, modificamos nuestros procedimientos para que la notificación de baja no sea lanzada automáticamente cuando se ejecuta una supresión de datos como ejercicio de derechos, de modo que no se generen malentendidos al duplicarse los correos.” Por este motivo, la Directora de la Agencia Española de Protección de Datos acuerda el archivo de estas actuaciones. Todo ello sin perjuicio de las posibles actuaciones que esta Agencia pudiera llevar a cabo ante el responsable del tratamiento en caso de que se produzca una reiteración en la conducta puesta de manifiesto en la presente reclamación o no se implanten de manera efectiva las medidas anunciadas por dicha entidad para evitar situaciones futuras similares. Si así ocurriera, esta Agencia acordará la realización de la oportuna investigación sobre los tratamientos de datos personales y los procesos de gestión que aplica en materia de protección de datos de carácter personal, así como las posibles actuaciones correctivas que procedieran. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 SE ACUERDA 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente resolución al reclamante e INFORMAR de ella al responsable del tratamiento. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
3. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos . C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es