1/6 Procedimiento Nº: E/10489/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por A.A.A. (en adelante, el reclamante) tiene entrada con fecha 10 de agosto de 2018 en la Agencia Española de Protección de Datos. La reclamación se dirige contra GOLDCAR SPAIN S.L., con NIF B03403169 (en adelante, el reclamado). Los motivos en que basa la reclamación son que el reclamado no otorga dirección de correo corporativa a sus empleados excepto a directivos y responsables, por lo que, a efectos de comunicaciones empresariales (comunicar turnos de trabajo, enviar nóminas, etc.) la empresa solicita una dirección particular a sus empleados. Recientemente, la empresa ha creado una red social de trabajo basada en WORKPLACE, solución ofrecida por FACEBOOK para entornos empresariales, en donde se ha creado un perfil con la dirección facilitada originalmente por el reclamante, empleado de la empresa reclamada. El reclamante afirma que pese a que en ningún momento ha autorizado al reclamado a crear una cuenta en una red social en su nombre ni a ceder sus datos a FACEBOOK recibió un correo en su cuenta indicándole que debía crear su perfil y darse de alta y ya ha recibido diversos correos indicando que su cuenta está lista y que puede empezar ya a utilizarla. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con número de referencia E/06863/2018, se dio traslado de dicha reclamación al reclamado, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha 2 de noviembre de 2018, se recibe en esta Agencia, con número de registro 203066/2018, escrito relativo al traslado de la reclamación en el que el reclamado manifiesta los siguientes hechos: a. Que ha remitido al reclamante comunicación en respuesta a la reclamación presentada en esta Agencia por Burofax a la dirección postal facilitada a esta Agencia b. Que la Sociedad no considera que se haya producido ninguna incidencia que pueda perjudicar los derechos fundamentales del reclamante ya que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 (
- i)la Sociedad no ha cedido sus datos a Facebook, si no que Facebook es el prestador de servicios de la herramienta contratada por GOLDCAR sin que en ningún momento se produzca la cesión de datos personales por parte de la Sociedad a la citada entidad y (
- ii)se ha facilitado la correspondiente información sobre el uso de la plataforma WORKPLACE (correo de 28 de agosto de 2018 – aportado por el reclamante al procedimiento en su reclamación-). TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: La reclamada reconoce que facilitó los datos de correo electrónico al prestador de servicios y desarrollador de la plataforma WORKPLACE, FACEBOOK, de manera que este pudiese precargar dichos datos en la herramienta y dejar las cuentas de los trabajadores listas para activarse si así lo deseaban, pero alega que no se produjo cesión como tal porque FACEBOOK actúa como encargado de tratamiento en el seno de la relación laboral. La herramienta, al tener estos perfiles creados, enviaba correos a los interesados indicándoles que la cuenta “estaba lista”, ofreciendo a los trabajadores que todavía no lo hubiesen hecho, la posibilidad de activar su cuenta. Adicionalmente, y con vistas a incentivar la creación y activación de la cuenta, WORKPLACE también enviaba novedades e interacciones de compañeros que ya habían activado la cuenta, y es por ello que, aunque el reclamante no hubiese concluido el proceso de alta en la red social empresarial, seguía recibiendo en su buzón de correo la actividad de dicha red social. La herramienta ofrece al interesado la posibilidad de cancelar la suscripción. No obstante, la reclamada, aunque no existiera constancia de que se hubiera solicitado la baja por parte del reclamante, tras la recepción de la reclamación presentada en esta Agencia, y a fin de atender los deseos del reclamante de no recibir más comunicaciones de la herramienta, procedió a cancelar la suscripción del interesado. Con respecto al otorgamiento de consentimiento, manifiestan que no han recabado el consentimiento de los trabajadores porque, al ser una herramienta necesaria para la comunicación con y entre los empleados de GOLDCAR, la cual facilita la colaboración entre los mismos y la formación de grupos de trabajo, la Sociedad ha considerado que este tratamiento es necesario para el cumplimiento y ejecución de la relación laboral que mantiene con sus trabajadores, , y porque, en el marco de las relaciones laborales y en consonancia con el considerando 43 del Reglamento General de Protección de Datos (“RGPD”) y las directrices dictadas por este Organismo en múltiples ocasiones, el consentimiento no es la base legal más recomendable en el ámbito de las relaciones laborales, puesto que existe un claro desequilibrio entre la posición del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 interesado (empleado) y la del responsable del tratamiento (empleador) y, por tanto, podría entenderse que el consentimiento no ha sido prestado de manera libre. Añaden, que en relación al uso del correo personal del reclamado, se indica que, tal y como el reclamante declara en su reclamación, por política empresarial, únicamente se proporciona una dirección de correo corporativo a responsables o personal directivo, al ser estos los únicos que, en virtud de sus funciones, necesitan utilizarla en su día a día. Para otras finalidades puntuales, como el envío de la nómina, se utiliza una dirección de email personal, que el trabajador facilita a la compañía voluntariamente. Con ese mismo enfoque se entendió que se podría utilizar la cuenta facilitada por cada empleado para poner a su disposición nuevas herramientas que faciliten la colaboración y mejoren la comunicación entre estos, facilitándoles así el mejor desempeño de sus labores profesionales. Con respecto a la relación contractual con FACEBOOK, GOLDCAR tiene contratado con FACEBOOK, el desarrollador de la plataforma WORKPLACE, una suscripción “Premium” a la misma. Añaden que tal y como se desprende de las Condiciones Legales de dicha herramienta a las cuales se puede acceder a través del siguiente enlace ***URL.1, los clientes de WORKPLACE Premium (en este caso GOLDCAR) son los responsables del tratamiento de los datos de sus empleados, configurándose Facebook como un mero encargado del tratamiento. Facebook pone a disposición de sus clientes con cuenta “Premium” en el enlace ***URL.2 el contrato como encargado de tratamiento que regula sus obligaciones en materia de protección de datos. CUARTO: Con fecha 6 de noviembre de 2018, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de estas. Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del RGPD, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Del mismo modo, el ordenamiento jurídico interno también prevé la posibilidad de abrir un período de información o actuaciones previas. En este sentido, el artículo 55 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, otorga esta facultad al órgano competente con el fin de conocer las circunstancias del caso concreto y la conveniencia o no de iniciar el procedimiento. III El artículo 6 del RGPD, regula la licitud del tratamiento estableciendo lo siguiente: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” IV C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 En el presente caso, el reclamante presenta reclamación contra el reclamado, por una presunta vulneración del artículo 6 del RGPD en relación con la licitud del tratamiento de sus datos personales. En concreto se denuncia que se han utilizado los datos personales del reclamante sin su consentimiento para crear una cuenta en una red social en su nombre y ceder sus datos a FACEBOOK. La reclamada reconoce que facilitó los datos de correo electrónico al prestador de servicios y desarrollador de la plataforma WORKPLACE, FACEBOOK, de manera que este pudiese precargar dichos datos en la herramienta y dejar las cuentas de los trabajadores listas para activarse si así lo deseaban, pero alega que no se produjo cesión como tal porque FACEBOOK actúa como encargado de tratamiento en el seno de la relación laboral. Asimismo, la reclamada manifiesta que la herramienta ofrece al interesado la posibilidad de cancelar la suscripción. No obstante, tras la recepción de la reclamación presentada en esta Agencia, y a fin de atender los deseos del reclamante de no recibir más comunicaciones de la herramienta, procedió a cancelar la suscripción del interesado, solventándose así los hechos denunciados. Por este motivo, la Directora de la Agencia Española de Protección de Datos acuerda el archivo de estas actuaciones. Todo ello sin perjuicio de las posibles actuaciones que esta Agencia pudiera llevar a cabo ante el responsable del tratamiento en caso de que se produzca una reiteración en la conducta puesta de manifiesto en la presente reclamación o no se implanten de manera efectiva las medidas anunciadas por dicha entidad para evitar situaciones futuras similares. Si así ocurriera, esta Agencia acordará la realización de la oportuna investigación sobre los tratamientos de datos personales y los procesos de gestión que aplica en materia de protección de datos de carácter personal, así como las posibles actuaciones correctivas que procedieran. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA 1 PROCEDER AL ARCHIVO de las presentes actuaciones. 1. NOTIFICAR la presente resolución al reclamante e INFORMAR de ella al responsable del tratamiento. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es