1/9 Procedimiento Nº: PS/00107/2019 RESOLUCIÓN: R/00195/2019 En el procedimiento sancionador PS/00107/2019, instruido por la Agencia Española de Protección de Datos a la entidad IDIOMAS ANATOLE FRANCE, S.A. (en lo sucesivo el reclamado), vista la denuncia presentada por D. A.A.A. (en lo sucesivo el reclamante), y en base a los siguientes ANTECEDENTES PRIMERO: El 25/04/2018 tiene entrada en la AEPD escrito de reclamación del representante del reclamado, quien tuvo una entrevista en MAPFRE, siendo posteriormente llamado para indicarle que debía subir un vídeo a Youtube indicando por qué esa empresa y no otra, en inglés y en español, así como realizar una entrevista telefónica en inglés. En el e-mail que le envía la empresa se recogen las direcciones, los nombres y apellidos y números de teléfono de todos los candidatos, suponiendo se ha infringido la normativa en materia de protección de datos. El 14/05/2018, requerido para que subsanase la reclamación presentada, aporta el contenido del mensaje recibido por el reclamante el 25/04/2018 y en relación con el procedimiento de selección aporta dos correos electrónicos de 24/04/2018. SEGUNDO: Tras la recepción de la reclamación, la Subdirección General de Inspección de Datos procedió a realizar las siguientes actuaciones: El 14/06/2018, reiterada el 26/06/2018, fue trasladada a MAPFRE la reclamación presentada para su análisis y comunicación al reclamante de la decisión adoptada al respecto y el 15/06/2018 se le comunicaba al propio reclamante la recepción de la reclamación y su traslado a la entidad reclamada. La representación de MAPFRE, en escrito de 27/07/2018, ha manifestado que los datos del reclamante fueron facilitados a MAPFRE, a través del de su CV entregado en mano por su madre a un familiar del Director General Territorial Este de MAPFRE. Analizado el contenido de dicho CV, desde el Área de Formación de MAPFRE se contactó con el reclamante para fijar una fecha para realizar la preceptiva entrevista inicial al candidato, que finalmente tuvo lugar el viernes 20/04/2018, en cuyo discurrir el entrevistador cree que el candidato puede encajen en un puesto comercial en MAPFRE y da traslado de su currículum al Jefe de Formación de la Dirección General Territorial de MAPFRE en Madrid para que se le incluyese en dicho proceso, lo que, tal como asimismo le fue comentado personalmente el reclamante en la mencionada entrevista, implicaba que, tras la misma, el candidato, siguiendo el procedimiento interno de selección de personal de MAPFRE, debía realizar las siguientes pruebas de aptitud general: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 - Prueba de nivel de inglés (para su realización las tiene contratadas con el reclamado, a través del contrato de prestación de servicios). Dicha prestación de servicios se configura en el propio contrato como un encargo de tratamiento. Con este motivo, y en cumplimiento de los servicios contratados por MAPFRE, manifiesta dicha la representación de la entidad que es el reclamado, en su condición de encargado del tratamiento, la que remite el correo de fecha 25/04/2018 que el reclamante adjunta a su denuncia, donde le anuncia la realización de una llamada telefónica el 30 de abril siguiente para efectuar una prueba de nivel de inglés, siendo evidente que la inclusión en dicho correo de los datos personales de otros candidatos no se ajusta a los requisitos de confidencialidad y tratamiento de datos pactados entre mi representada y el reclamado. - Pruebas de personalidad, inteligencia y fortalezas comerciales (la realización de dichas pruebas las tiene contratadas con la entidad SAVILLE CONSULTING UK LTD (en lo sucesivo SAVILLE), a través del contrato de prestación de servicios con efectos para todas las entidades de dicho Grupo Empresarial). Por este motivo, y en cumplimiento de los servicios contratados por MAPFRE, es la entidad SAVILLE, en su condición de responsable del fichero, la que remite al reclamante los correos de fecha 24/04/2018 que adjunta a su denuncia, donde, por un lado, se le invita a realizar las indicadas pruebas a través de la plataforma del proveedor (“Oasys”) y se le avisa de que recibirá para ello “un correo nuevo con el nombre del usuario, la contraseña y las instrucciones para registrarse” y, por otro, se le envían los indicados datos de acceso. Subrayar que sobre el tratamiento por MAPFRE de los datos personales del reclamante incluidos en su CV, así como de cualesquiera otros facilitados por el candidato en el transcurso del indicado proceso de selección, se le informó personalmente en el transcurso de la mencionada entrevista inicial, información que fue reiterada posteriormente por e-mail de fecha 24/04/2018, remitido por el Área de RRHH de MAPFRE derecho alguno, por lo que no se han dado las circunstancias previstas en el punto 4 del artículo 12 del RGPD que establece la obligación del Responsable del Tratamiento, si no da curso a la solicitud de ejercicio de derechos del interesado, de informarle, a más tardar transcurrido un mes de la recepción de la solicitud, de las razones de su no actuación y de la posibilidad de presentar una reclamación ante una autoridad de control y de ejercitar acciones judiciales. Mi representada ha tenido conocimiento de los hechos acaecidos y de la reclamación del reclamante a través del requerimiento de información recibido de esa Agencia de Protección de Datos al que se da respuesta a través del presente escrito, entendiendo que la obligación de informar al reclamante sobre el curso y el resultado de su reclamación ante la AEPD es de la propia AEPD (artículos 57.1.
- f)y 77.2 RGPD). TERCERO: Se realiza consulta a la aplicación de la AEPD que gestiona antecedentes de sanciones y apercibimientos precedentes en materia de protección de datos, resultando que en relación al reclamado con NIF B79588463, no le constan registros previos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 CUARTO: Con fecha 21/03/2019, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento, con arreglo a lo dispuesto en el artículo 45.6 de la LOPD, con relación a la denuncia por infracción de su artículo 10, tipificada como grave en el artículo 44.3.
- d)de la citada Ley Orgánica. QUINTO: El 11/04/2019 el representante del reclamado presentó escrito de alegaciones en el que señalaba que se tuvo acceso a los datos del reclamante como consecuencia de los servicios prestados a MAPFRE para la realización de pruebas de idiomas, en calidad de encargado del tratamiento; MAPFRE remitió al reclamado listado de personas que debían ser citadas para pasar la prueba de idiomas y que por error y actuando de buena fe se le remitió un correo electrónico conjunto en lugar de convocar de forma individual a los interesados en el que se incluía el nombre, apellidos y número de teléfono particular; que una vez tuvo conocimiento de los hechos ha procedido a realizar una investigación para determinar las causas y aplicar las oportunas medidas que impidan que vuelva a producirse. HECHOS PROBADOS PRIMERO: El 25/04/2018 tiene entrada en la AEPD escrito de reclamación de la representante del reclamante; la reclamación se dirige contra el reclamado por el envío de un e-mail conjunto en el que era convocado a una prueba de idiomas, por encargo de MAPFRE, y en el que además se aportaban los datos de carácter personal (nombre, apellidos, teléfono, etc.) de otros candidatos que fueron convocados a la misma prueba, vulnerando el deber de secreto. SEGUNDO: Consta aportado tanto la copia del poder de representación como del DNI del reclamante. TERCERO: El reclamante aporta copia del correo electrónico, así como de su cabecera, enviado el 25/04/2018 por el reclamado, en el que figuran los nombres, apellidos y números de teléfonos de los convocados para la realización de prueba de nivel de inglés de manera telefónica. CUARTO: El reclamado en escrito de 11/04/2019 ha reconocido los hechos reclamados al manifestar que “tiene acceso a los datos del denunciante como consecuencia de servicios prestados a la entidad MAPFRE para la realización de pruebas de nivel de idiomas. Esta prestación de servicios se realiza en calidad de Encargado de Tratamiento. MAPFRE remite al reclamado un listado de personas que han de ser citadas para pasar una prueba de nivel de inglés. Por error humano y actuando siempre de buena fe, el día 25 de abril de 2018, se remite un correo electrónico conjunto en lugar d convocar de forma individual a los interesados en el que se incluye el nombre y apellidos de estos y su número de teléfono particular…” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 FUNDAMENTOS DE DERECHO I Los hechos objeto de la reclamación quedan sometidos a las disposiciones de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD) y a su Reglamento de desarrollo aprobado por el Real Decreto 1720/2007 (RLOPD) tomando en consideración que los mismos acontecieron con anterioridad al 25 de mayo de 2018, fecha de aplicación del Reglamento 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y a la libre circulación de estos datos. II Los hechos expuestos podrían suponer la comisión por parte del reclamado de una infracción al principio del consentimiento recogido en el artículo 10 de la LOPD, que dispone: "El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo." Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así el Tribunal Superior de Justicia de Madrid ha declarado en su sentencia n. 361, de 19/07/01: "El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)". En este sentido, la sentencia de la Audiencia Nacional de fecha 18/01/02, recoge en su Fundamento de Derecho Segundo, segundo y tercer párrafo: "El deber de secreto profesional que incumbe a los responsables de ficheros automatizados, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable -en este caso, la entidad bancaria recurrente- de los datos almacenados -en este caso, los asociados a la denunciante- no puede revelar ni dar a conocer su contenido teniendo el "deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero automatizado o, en su caso, con el responsable del mismo" (artículo 10 citado). Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente, como el teléfono de contacto, no pueden ser conocidos por ninguna persona o entidad, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un "instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos" (STC 292/2000). Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino" (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, "es decir, el poder de resguardar su vida privada de una publicidad no querida." Así, el deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. El deber de secreto profesional que incumbe a los responsables de los ficheros, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable o quienes intervengan en cualquier fase del tratamiento de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el "deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo". Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente o no, no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. III En el presente caso, ha quedado acreditado que el reclamado vulneró el deber de confidencialidad en relación con los datos personales del reclamante, en su condición de encargado del tratamiento, al remitir correo electrónico de fecha 25/04/2018 donde le da a conocer la realización de prueba de nivel de inglés incluyendo en el mismo los datos personales de otros candidatos. Dicha información de carácter personal no podía ser facilitada al reclamante, salvo con el consentimiento de los afectados o, bien mediante la existencia de una habilitación legal que permitiera su comunicación, que en el presente caso no concurría. La propia entidad ha manifestado que todo se debió a un error humano y que actuando con buena fe remito correo electrónico en lugar de convocar de manera individual a los interesados a la citada prueba. Por tanto, queda acreditado que, por parte del reclamado, se ha vulnerado el deber de secreto garantizado en el artículo 10 de la LOPD, al haber posibilitado que el reclamante tuviese acceso a los datos personales de otros candidatos que iban a realizar la prueba de nivel de inglés. IV La LOPD califica como infracción grave la vulneración del artículo 10 de la citada norma. El incumplimiento del deber de guardar secreto establecido en dicho C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 artículo constituye una infracción grave tipificada en el artículo 44.3.d), que establece: "La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley". En el caso analizado, se ha producido por el reclamado una vulneración del deber de secreto al serle revelado al reclamante y permitirle el acceso a los datos de carácter personal de los demás candidatos que iban a realizar la prueba de nivel de inglés. Es por ello, que la conducta imputada al reclamado supone la vulneración del artículo 10 de la LOPD, que encuentra su tipificación en el tipo del citado artículo 44.3.d). V El apartado 6 del artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
- a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
- b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. A este respecto, procede considerar lo establecido en el artículo 45.4 y 5 de la LOPD: “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
- a)y
- b)del citado artículo 45.6 de la LOPD. Junto a ello se constata una cualificada disminución de la culpabilidad del reclamado por la concurrencia de varios criterios de los enunciados en el artículo 45.4 de la LOPD, concretamente, que la citada entidad no tiene como actividad principal el tratamiento de datos de carácter personal, el volumen de tratamientos al que afectan los hechos estudiados se limita a los datos personales del reclamante y de un tercero, lo que justifica la aplicación del procedimiento establecido en el artículo 45.6 de la citada norma. No obstante, es obligado hacer mención a la Sentencia de la Audiencia Nacional de 29/11/2013, (Rec. 455/2011), Fundamento de Derecho Sexto, que sobre el apercibimiento regulado en el artículo 45.6 de la LOPD y a propósito de su naturaleza jurídica advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 infracción no es merecedor de aquella y cuyo objeto es la imposición de medidas correctoras, la SAN citada concluye que cuando no se requieran medidas correctoras, lo procedente en Derecho es acordar el archivo de las actuaciones. En este caso concreto, atendida la naturaleza de la infracción y habida cuenta que el reclamado ha comunicado que una vez tuvo conocimiento de los hechos procedió a realizar una investigación interna para conocer la causa y aplicar la medidas técnicas y organizativas adecuadas para impedir que dichos hechos vuelvan a repetirse: ha enviado comunicación a sus empleados recalcando la importancia de la confidencialidad y el deber de secreto y la metodología a aplicar en la gestión de convocatorias para la realización de pruebas de nivel de idiomas y de cualesquiera pruebas que se realicen; ha distribuido manual de tratamiento de datos en el que se plasman estas directrices de actuación y que forman parte del sistema propio de protección de datos que está implantando la entidad para garantizar la seguridad y confidencialidad de los datos que realiza como responsable y encargado; también ha redactado una serie de normas y principios de conducta que han de servir de guía a los empleados, siendo pautas de obligado cumplimiento; asimismo, ha planificado e implementado procedimientos y controles con la finalidad de facilitar la aplicación del RGPD, por lo que debe procederse en consecuencia, a resolver el archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno al reclamado, en aplicación de la interpretación del artículo 45.6 de la LOPD. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. ARCHIVAR las actuaciones practicadas a la entidad IDIOMAS ANATOLE FRANCE, S.A., con NIF B79588463, con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 10 de la LOPD. 2. NOTIFICAR a la entidad IDIOMAS ANATOLE FRANCE, S.A., con NIF B79588463. De conformidad con lo establecido en el artículo 50 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es