PS-00112-2015

1/14 938-0419 Procedimiento Nº: PS/00112/2015 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha de 23/06/2014 tiene entrada en esta Agencia un escrito de A.A.A. (denunciante) en el que declara: <<…Que la empresa para la que prestaba servicios VALMICS 2000 SL me entregó el pasado 1/04/2014 carta de despido disciplinario por falta muy grave, hechos del todo inciertos y que se encuentran en tramitación judicial y que se fundamentan en datos recogidos por un dispositivo GPS instalado en mi móvil sin mi consentimiento. El mismo fue instalado sin mi conocimiento, por lo que no se ha informado de su finalidad…>> El denunciante aporta copia impresa obtenida de internet, registro mercantil, en la que figura que la denunciada tiene como objeto social la explotación de máquinas recreativas y de azar, su mantenimiento y reparación. Aporta el denunciante copia de la siguiente documentación: - Carta de despido fechada el día 31/5/2014 por la que VALMIC despide a denunciante con efectos 1/04/2014, basándose en que: <<Por informaciones obtenidas del control de su trabajo y rutas encargadas para visitar establecimientos que captar en el fomento de esta empresa, hemos comprobado que Vd., en tiempo de trabajo abonado por esta empresa, permanece en su domicilio sin trabajar conforme datos que el GPS (dispositivo lokaliza) implantado en los móviles de todos los empleados relata, y que son los siguientes para su conocimiento y defensa: … …, con el cambio a la compañía operadora Orange, Vd. ya se ha negado a instalar el programa pertinente y a facilitarnos su PIN para incorporar el GPS lokaliza para reportamos información como es habitual en todos los empleados, menos Vd., teniéndonos desinformados de su jornada y horarios posteriores al cambio de operador.>> - Denuncia presentada ante el Juzgado de Instrucción e Instancia de Masamagrell en base a: <<En la citada carta de despido se señala, que la empresa había instalado un dispositivo de seguimiento y localización en el móvil de mi mandante, pero sin que mi representado tuviese conocimiento de dicha circunstancia y evidentemente no autorizó el mismo… Que el citado dispositivo de seguimiento ha estado activo incluso durante el período que yo he estado de baja, durante los fines de semana, período vacacional, es decir, fuera de mi horario de trabajo, o al menos eso se desprende del contenido de la carta de despido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es TERCERO. - La circunstancia de vigilar a mi mandante y de intentar fiscalizar todos sus movimientos, tanto dentro del horario de trabajo, como fuera del mismo, mediante un dispositivo de localización instalado en su móvil, sin ningún tipo de autorización, constituye una intromisión ilegítima en su vida privada.>> SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la denunciada teniendo conocimiento según refleja el literal del informe de actuaciones previas: 1. Solicitada información a VALMICS, la entidad manifiesta: a. La existencia de Procedimiento Penal seguido en el Juzgado de instrucción número 1 de Massamagrell (Valencia), Diligencias previas XXX/2014 por los mismos hechos que son objeto de controversia en esta denuncia, y que por tanto el resultado de dicha causa penal va a influir decisivamente en la resolución de presente. Por ello, solicita la suspensión del expediente Administrativo, en el estado en el que actualmente se encuentra. b. Que el denunciante, en su calidad de Jefe de Explotación y Ventas de VALMICS, tuvo perfecto conocimiento de la instalación del sistema GPS instalado en su teléfono móvil y en el del resto de trabajadores. Dicho sistema estaba operativo únicamente durante la jornada laboral, que la información e instalación de este tuvo lugar en reunión celebrada al efecto en la que se encontraban presentes los trabajadores de la empresa, entre ellos el propio denunciante, y en la que por el técnico que instaló dicha aplicación, se explicó a todos ellos la instalación y funcionamiento de la misma, a fin de facilitar su labor de comercialización con los clientes. En la referida reunión, se firmó un documento por todos los asistentes, incluido el propio denunciante, en el que se les informaba sobre el sistema de localización GPS. La aplicación fue instalada en cada uno de los móviles de los trabajadores tras facilitar todos ellos al técnico instalador el PIN o clave de acceso a su teléfono móvil. De todo ello fue perfecto conocedor tanto el denunciante cono su esposa, que también trabajaba en la empresa, conocía la existencia del dispositivo GPS y era la encargada de llamar a los trabajadores tras ser localizados con dicha aplicación para dar instrucciones sobre determinadas peticiones de clientes facilitando así las labores de comercialización. Aporta copia de dicho documento, en el que consta: a octubre 2013 <<Yo … en representación de Valmics 2000, SL informo a los cinco trabajadores B.B.B., A.A.A., C.C.C., D.D.D. y E.E.E. que desde la fecha llevaran implantado en el dispositivo móvil, perteneciente a la empresa, un sistema de localización GPS, además se comprometen a descargar la aplicación del móvil, facilitar el pin BB y a mantenerla activa durante el horario de trabajo, siendo este de Lunes a Viernes, de 8:30h a 19:00h, Y en prueba de conformidad, firmamos este documento estando todos reunidos y presentes. >> En el documento aparecen seis firmas pudiendo ser o no, una de ellas la de representante de la empresa. 3/14 TERCERO: Con fecha 18/02/2015, el Director de la Agencia Española de Protección de Datos acordó INICIAR PROCEDIMIENTO SANCIONADOR a VALMICS 2000 S.L por la presunta infracción del artículo 5.1 de la LOPD, tipificada como leve en el artículo 44.2.

1. c)de la citada Ley Orgánica, y SUSPENDER el procedimiento en virtud del artículo 7 del citado Real Decreto 1398/1993 con la vinculación que prevé sobre los hechos declarados probados por resolución judicial penal firme. CUARTO: En sucesivas peticiones a Juzgados y Tribunales, se cursaron escritos para conocer el estado del proceso. QUINTO: Con fecha 19/12/2018 se recibe escrito del Juzgado de primera instancia e instrucción 1 de Masamagrell en el que comunica que sobre el procedimiento abreviado XXX/2014 recayó sobreseimiento en resolución de 19/07/2018, confirmado por la Audiencia Provincial de Valencia el 16/11/2018. SEXTO: Con fecha 21/01/2019 se acuerda por la Directora de la AEPD el levantamiento de la suspensión del procedimiento, comunicándolo a las partes. SÉPTIMO: Al no remitir escrito alguno el Juzgado en su escrito de 19/12/2018, con fecha 23/01/2019, se le solicita que aporte ambas resoluciones que menciona en su escrito para conocer la extensión de la resolución por poder influir en el procedimiento. OCTAVO: Con fecha 11/02/2019, se recibe escrito de la denunciada en el que aporta copia del auto de 19/07/2018 del Juzgado de Primera Instancia e Instrucción 1 de Massamagrell. La denunciada solicita en base a ello, el archivo del expediente por identidad de sujeto, hecho y fundamento entre la infracción administrativa y la infracción penal. En el auto figura: -El procedimiento abreviado XXX/2014 por un presunto delito contra la intimidad. -El 26/02/2018 se dictó auto de incoación de procedimiento abreviado. -El actual auto da como probada la titularidad del dispositivo móvil de la denunciada según figuraba en la factura de la línea. -Fuera de la jornada laboral el geo localizador no funcionaba y la aplicación se desconecta automáticamente una vez finalizada. -Se archiva por no concurrir tipicidad delictiva en los hechos, al no acreditarse que con su instalación tenía como finalidad descubrir secretos o vulnerar la intimidad. -Se advierte de que “dado que la pericial caligráfica obrante en el procedimiento resulta que la firma estampada en el documento dubitado no es la propia del denunciante tal y como se pretende la parte investigada, procede deducir testimonio de los particulares que hagan referencia a la posible comisión de un delito de falsedad previsto en el código penal. La parte dispositiva estima el recurso de VALMICS sobre el presunto delito contra la intimidad, pero continúa el procedimiento contra los investigados por la comisión de un posible delito de falsedad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es NOVENO: Con fecha 19/02/2019 se recibe escrito del Juzgado en el que envía -A) De 19/07/2018, auto del Juzgado de Primera Instancia e instrucción 1 de Massamagrell abreviado XXX/2014, delito contra la intimidad. Se menciona el artículo 197 del código penal “El que para descubrir secretos o vulnerar la intimidad de otro…se apodere de papeles cartas, mensajes de correo electrónico o cualquiera documentos o efectos personales.” y se examina la tipicidad de la conducta. Se determina por las pruebas practicadas que el teléfono móvil era titularidad de la denunciada por las facturas aportadas a través de la empresa VODAFONE. También que el representante de la entidad propietaria de la aplicación del geolocalizador declaró que se configuraba en las horas predeterminadas por la empresa, manifestando el representante de esta que la aplicación solo podía utilizarse en horario laboral desconectándose automáticamente una vez finalizado. En la instrucción no se acredita que la aplicación del geolocalizador tuviera como finalidad la de descubrir secretos o vulnerar su intimidad, no puede estimarse que concurran los elementos típicos del artículo 197.1 del Código Penal, sobreseyendo las actuaciones. Reitera lo ya señalado en el párrafo anterior sobre la duda de la firma estampada en la pericial caligráfica sea o no la del denunciante. El auto declara el sobreseimiento sobre dicho delito y acuerda deducir testimonio de los interesados a efectos de continuar el procedimiento contra los investigados por comisión de posible delito de falsedad. También se aporta auto YYYY de 16/11/2018 de la Audiencia Provincial sección segunda de Valencia en el que en su apartado SEGUNDO acuerda deducir testimonio cuando hay indicios de que la firma del denunciante ha sido falsificada en un documento aportado en un procedimiento penal. DÉCIMO: Con fecha 18/02/2019 se inicia un periodo de practica de pruebas, incorporando la denuncia, sus documentos anexos se abre el procedimiento de pruebas y se solicita a la denunciada: ”1. Informe si la posible falsedad de documentos que pervive según el fallo de la sentencia, y por la que se continua otro procedimiento judicial es la relativa al contenido en el documento 4 que fue aportado por esa entidad en su información de 1/12/2014, en el que se contenían firmas de empleados sobre la colocación en la aplicación del dispositivo en el móvil? Con fecha 27/03/2019 se recibe respuesta indicando que “no le consta la existencia de otro procedimiento judicial relativo a los extremos que se mencionan” 2 informe si además de dicho documento, existe algún otro en el que se informara al denunciante o a los representantes de los mismos, sobre la geolocalización de sus movimientos en relación con el desempeño de su labor, como se articularía, y si podía ejercitar los derechos de accesos a esas monitorizaciones del geoposicionamiento. Respondió que acompaña documentos uno a cuatro que contienen declaraciones testificales que fueron prestadas ante el Juzgado durante la sustanciación del proceso penal, por los trabajadores de la denunciada así como por el técnico que llevó a cabo la instalación del geo localizador en los dispositivos móviles de la empresa. Manifiesta que en dichas declaraciones se detalla el proceso de información a los trabajadores así como la instalaciones y funcionamiento. Un primer documento es la declaración testifical de un empleado de VALMICS que refiere que se convoca una reunión en las oficinas de la empresa porque la empresa iba a instalar un localizador GPS refiriendo un documento que firmaron los trabajadores, 5/14 manifestando que también lo hizo el denunciante que se encontraba allí. Figura que: “Se exhibe el documento de folio 50 que es el que firmaron en la reunión”. Añade que tuvieron que dar el PIN de su teléfono al técnico y se descargaron la aplicación viéndose un icono en el móvil, se les detalló que solo estarían geolocalizados en horario laboral. Manifiesta que la pareja del denunciante tenía en su ordenador instalada una aplicación para hacer el seguimiento de los dispositivos y comunicar con los técnicos. Similares declaraciones efectúan otros tres empleados, indicándose que el denunciante firmó el documento en el que consentían la instalación de la aplicación. Uno de los declarantes, F.F.F. prestador de servicios profesionales a la denunciada, en nombre de SISTMAN software, con la que se contrató la instalación del localizador, indica que se instaló un localizador GPS a los trabajadores de la empresa, que tuvieron una reunión y les informó a los trabajadores y también “les informaron que iban a estar localizados por la empresa en horario laboral para tener controlados los desplazamientos y aprovechar el tiempo” y que “todos los empleados facilitaron el PIN porque era imprescindible” Se aporta también certificado de esta persona de 18/04/2016 como gerente de CONSUTEL, indicando que fue el que “Informó personalmente a todos los trabajadores de la entidad denunciada respecto de la instalación del localizador recabando de estos el PIN de cada uno de los teléfonos que portaban y prestando todos ellos el consentimiento”. Se aprecia que ninguno de los declarantes aporta información alguna sobre el uso del dispositivo para control y verificación del desempeño laboral por parte de la empresa, finalidad del dispositivo, ejercicio de derechos y sede ante la que formularlos. Aporta como documentos 5 a 8 copia de comunicaciones de correos electrónicos en relación con la instalación del geolocalizador, mantenidas entre el técnico instalador y la administrativa entonces, esposa del denunciante así como informe del Ministerio Fiscal emitido en el procedimiento penal en el que se hace análisis de esas comunicaciones. 3 ratificar y acreditar en su caso si el dispositivo móvil usado por el denunciante tanto en su propiedad como la de la línea, correspondía a la denunciada. Manifiesta que figura en hechos probados tanto la titularidad de la línea como del terminal usado por el denunciante por parte de la denunciada. Aporta documentos nueve a doce en los que se indica que la titularidad de la línea ***TELEFONO.1 usada por el denunciante era titularidad de la denunciada y aporta copia de factura que así lo acredita. 4 informe y acredite en su caso, si le consta que el denunciante interpusiera demanda ante el juzgado de lo social por el despido, situación de la misma y sede y dirección que lleva el asunto, o si ha sido firme, copia de la resolución recaída. Manifiesta que interpuso demanda ante lo social, pero las partes llegaron a un acuerdo con abono de indemnización al denunciante. DÉCIMO PRIMERO: Con fecha 22/04/2019 se emite propuesta de resolución con el literal: “Que por la Directora de la Agencia Española de Protección de Datos se sancione a VALMICS 2000 S.L. con NIF B97089940, con multa de 8.000 € por la infracción del artículo 5.1 de la LOPD, tipificada como leve en el artículo 44.2.
2. c)de dicha norma, de conformidad con el artículo 45.1, 45.4.
3. b)y 45.4.
4. j)de la LOPD.” Con fecha 25/05/2019 se reciben alegaciones de la denunciada en las que indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 1) La jurisprudencia de lo social ha validado el uso y la finalidad en procedimientos de despido, en los que el empleado conocía la instalación del sistema GPS supliendo al deber informativo del artículo 5.1 de la LOPD. Como ejemplo aporta la sentencia del TSJ de CastillaLa Mancha sala de lo social sección 1, sentencia 370/2015 de 31/03. La sentencia trata de un vigilante de seguridad que tiene a su disposición, como herramienta de trabajo, un vehículo de la empresa que le permite efectuar su trabajo consistiendo en la realización de rutas (en coche) de seguridad y vigilancia activa de los bienes e instalaciones del cliente ADIF, y que “conoce, por utilizarlo habitualmente, que dicho vehículo está equipado con un sistema de control de flotas provisto de localizador GPS que está gestionado por el sistema NEO, y que permite realizar un seguimiento exhaustivo del vehículo que se está utilizando para la ejecución del trabajo. Dicho sistema de GPS se activa cada vez que se comienza a utilizar el vehículo.” Figuran, en resumen, como hechos que motivaron la sanción que “Tras unos hechos acontecidos el día 12/12/2013 con un compañero del servicio de seguridad de la Patrulla de ADIF, el Jefe de Seguridad decide realizar una auditoría interna el 16/12, revisando el sistema del GPS de todos los vehículos, detectando que, Usted junto con su compañero el V.G. D. Victoriano , cuando se encuentran prestando servicio juntos en ruta y en el tumo de noche(de 22.00 a 06.00 horas), no realizan debidamente las rutas establecidas de seguridad y vigilancia activa que requiere el servicio, y que son funciones básicas de un vigilante de seguridad (vigilancia y protección activa nocturna, en el presente caso).” Como Usted bien sabe, durante el servicio de noche, la patrulla tiene que vigilar (entre 1 o 2 horas) aleatoriamente y sin un horario establecido, las siguientes instalaciones de la Línea de Alta Velocidad: Se ha detectado que el coche ha estado parado durante el desarrollo de su servicio y, en reiteradas ocasiones incluso fuera de la ruta establecida en el servicio, quedando consiguientemente, sin proteger y vigilar la ruta objeto del mismo. Debido al gran volumen de registros, se detallan aquellos más significativos, sin perjuicio de estar a su disposición TODOS los registros detallados del sistema GPS en las Oficinas de la Empresa y partes de incidencia respectivos: o Mes diciembre de 2013: El día 6 estuvieron parados desde las 22:30 a las 02:24 horas y de 03:00 a 05:15 horas, esto es, sin hacer la ruta establecida.” De esos hechos deriva una serie de incumplimientos. La sentencia determina “la necesaria y suficiente información a dichos trabajadores de su instalación, y de la finalidad que con la misma se persigue. Exigencia que, por lo que se refiere al caso examinado se cumplió, siendo ello una cuestión que se declara expresamente acreditada en los hechos probados de la sentencia impugnada, según los cuales el actor tenía conocimiento de que en el vehículo de la empresa que usaba para realiza su trabajo se había instalado un GPS, y, además, el propio actor suscribió un documento sobre tratamiento de datos, en los que prestaba su expresa conformidad, y siendo ello así deberá concluirse en la ausencia de las vulneraciones legales denunciadas, siendo legítimo el uso por parte de la empresa de los datos suministrados por el aludido sistema de vigilancia, que evidencian de que el actor incumplió sus obligaciones laborales en los términos recogidos en la carta de despido, cuya certeza no ha sido puesta en duda. Todo lo cual implica la necesaria desestimación del recurso y la confirmación de la sentencia impugnada". En este caso los datos no se han usado para un fin distinto propio del control laboral y dentro de la jornada laboral y se acredita que los trabajadores conocían la instalación del sistema y que proporciona información a la empresa sobre la ubicación, operando solo en horario laboral, sin que sea necesaria advertencia expresa acerca del uso de los datos obtenidos cuando éste vaya a limitarse al ámbito interno de la empresa. Indica que en hechos probados de la sentencia se declara que los trabajadores conocieron la implantación del sistema GPS en sus terminales antes de su instalación, pues 7/14 tuvieron que facilitar sus teléfonos y claves de acceso para que un técnico externo de la empresa pudiera instalar y configurar la aplicación, y el técnico les informo que el sistema iba a permitir conocer su ubicación El uso que se ha dado a los datos no ha sido en ningún caso fuera del ámbito de la empresa, por lo que según la jurisprudencia invocada, ninguna advertencia del uso de dichos datos resultaba preceptiva para la empresa. 2) Afirma que la única ocasión que dichos daos pudieran haber tenido un uso que en modo alguno era ajeno a la empresa, fue cuando se puso de manifiesto su reiterado incumplimiento contractual, siendo el inicial despido disciplinario que de ello derivó reconducido de mutuo acuerdo por ambas partes-empresa y trabajador-, siendo indemnizado el trabajador como si de un despido improcedente se tratara, considerando que no se le ha causado ningún perjuicio. Además, la esposa del denunciante era la gestora de los datos resultantes de la ubicación de los trabajadores. 3) Considera excesiva la cuantía de la propuesta de resolución y menciona que no se han tenido en cuenta los puntos a, c, e, g y h del artículo 45.4 de la LOPD para imponer en su caso la sanción mínima, además es una SL pequeña y solo tiene cuatro empleados. Añade que no concurre intencionalidad pues la sentencia declara que la aplicación no violaba la intimidad pues solo operaba en horario de prestación del servicio. 4) A los trabajadores se les informó, aportan acta documento uno. Cuando el denunciante interpuso demanda ante lo social y pese a la información que se había prestado por los trabajadores. En el acta, figuran mencionados cuatro empleados que acuden a una reunión con la administradora de la empresa denunciada el 24/06/2014, no está el denunciante. En relación con los datos obtenidos de la aplicación GPS instalada en sus dispositivos móviles, informándoles que los daos de ubicación se guardan en un fichero por un plazo máximo de un mes y pueden utilizarse para el control del cumplimiento de las obligaciones laborales de los empleados. También se contiene información sobre derechos a ejercer en relación con los mismos. Pese a ello, por la inseguridad que provocaba el sistema, se dio de baja de todos los terminales de los empleados, en octubre de 2014. Aporta documento dos, de octubre 2013 en el que la empresa acuerda con la propietaria de la aplicación informatica del sistema lokaliza.es cuya finalidad es la gestión y localización de dispositivos y una factura de abono hasta marzo 2014. Como documento 5 un certificado de la administradora que indica que el sistema de la aplicación “lokaliza” se dejó de utilizar el octubre de 2014, fecha en que se dio de baja el contrato suscrito y otro certificado de la mercantil titular de la aplicación que indica el mismo extremo. HECHOS PROBADOS 1) El denunciante prestaba servicios como comercial para la denunciada, cuyo objeto social es la explotación de máquinas recreativas y de azar, su mantenimiento y reparación, captando clientes en bares y cafeterías para legalización e instalación de citadas máquinas. 2) Mediante carta de fecha 31/03/2014, entregada por la denunciada al denunciante el 1/04/2014 y con efectos del mismo día, se comunicó el despido al denunciante. En los motivos del mismo figura la transgresión de la buena fe contractual (54.2.
5. d)del Estatuto de los trabajadores. 3) En la carta de despido se contienen entre otros motivos, el relato de referencias de datos con los movimientos físicos del denunciante, desde el 3/02/2014, hasta 19/02/2014 con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es la aplicación de geoposicionamiento lokaliza instalada en el móvil que, titularidad de la denunciada se puso a disposición del denunciante, así como de otros empleados. Se relatan fechas concretas ligadas a horas en que debía hallarse trabajando, para deducir que el denunciante se encuentra en su domicilio, percibiendo el salario de la denunciada, o la hora a la que sale o está de vuelta en casa, antes de finalizar la jornada, o que se encuentra en una zona sin tener visita alguna programada. 4) Por los hechos aquí denunciados, el denunciante interpuso demanda penal contra la denunciada indicando entre otros extremos en la misma que la empresa instaló un dispositivo de seguimiento y localización en el móvil sin que tuviese conocimiento de dicha circunstancia violando su intimidad, mencionando asimismo la comisión de un delito de descubrimiento y revelación de secreto. Con fecha 23/05/2014, se acordó incoar diligencias previas por el Juzgado de primera Instancia e Instrucción núm. 1 de Massamagrell. 5) El auto de 19/07/2018 no estima la comisión de delito por parte de la denunciada, recogiendo que la aplicación del geolocalizador se configuraba en las horas predeterminadas por la empresa, que la aplicación solo podía utilizarse en horario laboral desconectándose automáticamente una vez finalizado. Se indica en el auto que durante la instrucción no se acredita que la aplicación del geolocalizador tuviera como finalidad la de descubrir secretos o vulnerar su intimidad, no puede estimarse que concurran los elementos típicos del artículo 197.1 del Código Penal, sobreseyendo las actuaciones. 6) Según manifiesta la denunciada, la esposa del denunciante, “que también trabajaba en la empresa, conocía la existencia del dispositivo GPS y era la encargada de llamar a los trabajadores tras ser localizados con dicha aplicación para dar instrucciones sobre determinadas peticiones de clientes facilitando así las labores de comercialización.” 7) La denunciada aporta copia de un documento, en el que consta: a octubre 2013 <<Yo … en representación de Valmics 2000, SL informo a los trabajadores…. entre los que menciona al denunciante- que desde la fecha llevaran implantado en el dispositivo móvil, perteneciente a la empresa, un sistema de localización GPS, además se comprometen a descargar la aplicación del móvil, facilitar el pin BB y a mantenerla activa durante el horario de trabajo, siendo este de lunes a viernes, de 8:30h a 19:00h, Y en prueba de conformidad, firmamos este documento estando todos reunidos y presentes. >> El documento presentado en actuaciones previas, el 17/12/2014 identificado como documento 4 y aparece firmado. Dicho documento no contiene relación alguna del posible uso para el control laboral, ámbito de control, o efectos disciplinarios, sus consecuencias, o el modo de ejercicio de derechos sobre dichos datos. Según manifiesta la denunciada, la finalidad del geolocalizador era la de facilitar su labor de comercialización con los clientes. 8) Se desconoce si la denunciada continúa utilizando en la actualidad la aplicación de geolocalización, si ha informado a los empleados de las finalidades relacionadas con el tratamiento de datos. 9/14 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
6. g)en relación con el artículo 36 de la LOPD. II El artículo 5.1 de la LOPD señala que “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
7. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
8. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
9. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
10. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
11. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante.”, Establecida una obligación en dicho artículo, corresponde a la denunciada acreditar que se ha llevado a pleno y debido efecto, y la denunciada no ha aportado documento alguno que haga suponer que se hubiera informado de la recogida de datos y de su uso y finalidad, poniéndose de manifiesto un uso de los mismos que no era conocido ni esperado por el denunciante, sin la información de los efectos y finalidad que podría producirse a consecuencia de esta recogida y que el citado artículo establece que ah de efectuarse de manera expresa, precisa e inequívoco. El art. 3
12. a)de la LOPD concreta el concepto de 'datos de carácter personal' como 'cualquier información concerniente a personas físicas identificadas o identificables'. La letra
13. c)del mismo precepto define el 'tratamiento de datos' como las 'operaciones y procedimientos técnicos, de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias'. En tal sentido, se produce el tratamiento resultante de correlacionar dispositivo móvil titularidad de la denunciada que se atribuye al denunciante, línea que la denunciada identifica del denunciante y que conoce y tiene en sus sistemas. Esa correlación permite que dicho GPS instalado en el teléfono, con el sistema técnico que la denunciada tiene en sus sistemas, puede la denunciada monitorizar en sus sistemas de información, los movimientos físicos de cualquier empleado, que lo utilizaba frecuentemente para contactar con los empleados cuando se hallaban prestando sus servicios, visitando a clientes sobre todo. En el caso denunciado, además se ha utilizado frente al denunciante sin haber sido prevenido de los extremos que el artículo 5.1 de la LOPD requiere En resumen: la posibilidad de conocer en todo momento, mediante un sistema de geolocalización que permite un continuo y permanente seguimiento del dispositivo móvil que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es porta el empleado en sus trayectos permite no sólo el posicionamiento de éste por razones de fácil contacto con clientes o comunicación de labores en el momento, sino también el lugar exacto en donde se halla el trabajador y, a su vez, el posterior tratamiento de los datos obtenidos con una finalidad no informada al afectado denunciante y que sirve en parte para formular y apoyar un despido disciplinario. El denunciante ni tenía conocimiento de dicha circunstancia, y sin conocimiento del denunciante se hacen que las conclusiones extraídas merced a este dispositivo tecnológico y su aportación en la carta como medio de prueba preconstituido para demostrar un eventual incumplimiento contractual Así lo consideró la propia Agencia Española de Protección de Datos en su Informe 193/2008, atinente a la instalación de un sistema GPS en el automóvil facilitado a un trabajador, en el que tras reproducir el mandato del artículo 20.3 del Estatuto de los Trabajadores dice con rotundidad: " (...) No obstante, la existencia de esta legitimación no excluye el cumplimiento del deber de informar, por parte del empresario previsto en el artículo 5.1 de la Ley Orgánica. En consecuencia, la actuación descrita en la consulta genera el correspondiente fichero y en todo caso, será obligatoria su inscripción en el Registro General de Protección de Datos, conforme a lo establecido en el artículo 26 de la Ley Orgánica". El Estatuto de los trabajadores indica: "El empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad humana y teniendo en cuenta la capacidad real de los trabajadores disminuidos, en su caso" ; y el otro, que: "No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley , o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado". Por su parte, el 6.1 de la Ley Orgánica 15/1999, antes calendada, prevé: "El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa" , mientras que el 5.1, de capital importancia, dispone en lo que aquí interesa: "Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
14. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información. (...)
15. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
16. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
17. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. No se cuestiona el poder de vigilancia y control del empresario sobre el cumplimiento de las obligaciones del trabajador a que se refiere el artículo 20.3 del Estatuto de los trabajadores. Mas, obviamente, su ejercicio, de igual modo que, incluso, el de los derechos fundamentales no es absoluto, sino que tiene límites que no pueden traspasarse so pena de resultar abusivo e ilícito. Las facultades empresariales se encuentran limitadas por los derechos fundamentales (entre otras muchas, SSTC 98/2000, de 10/04 o 308/2000, de 18/12). Por ello, al igual que el interés público en sancionar infracciones administrativas resulta insuficiente para que la Administración pueda sustraer al interesado información relativa al fichero y sus datos, según dispone el artículo 5.1 y 2 de la LOPD (STC 292/2000, de 30/11), tampoco el interés privado del 11/14 empresario podrá justificar que el tratamiento de datos sea empleado en contra del trabajador sin una información previa sobre el control laboral puesto en práctica. No hay en el ámbito laboral, por expresarlo en otros términos, una razón que tolere la limitación del derecho de información que integra la cobertura ordinaria del derecho fundamental del art. 18.4 CE . Por tanto, no será suficiente que el tratamiento de datos resulte en principio lícito, por estar amparado por la Ley (arts. 6.2 LOPD y 20 LET), o que pueda resultar eventualmente, en el caso concreto de que se trate, proporcionado al fin perseguido; el control empresarial por esa vía, antes bien, aunque podrá producirse, deberá asegurar también la debida información previa . Es decir, la prestación laboral de servicios no entraña la inmunidad de la facultad de control de que dispone el empresario a la ineludible necesidad de garantizar los derechos fundamentales y libertades públicas del trabajador. La utilización en este caso del sistema GPS para obtener datos de horas de salida, llegada o ruta como Comercial infringió la LOPD y, a su vez, su derecho fundamental a la intimidad personal que consagra el. En suma, si el sistema GPS instalado en el móvil que la empresa cedió al denunciante por teóricas razones de facilitar el contacto y las labores, se utilizó, en realidad, sin previo aviso, ni información al afectado, para conocer y tratar luego los datos relativos a los lugares en que estuvo en cada momento mientras se movía por las zonas de las visitas programadas por la empresa y, de este modo, buscar la probanza del modo en que realizó su prestación laboral. Teniendo en cuenta que para las personas físicas, en este caso ligada por una relación laboral, debe quedar totalmente claro que se están recogiendo, utilizando, consultando o tratando de otra manera datos personales que les conciernen, así como la medida en que dichos datos son o serán tratados. El hecho de que al denunciante se le instalara un sistema de geolocalización y conociera o permitiera dicha instalación no supone que hay sido informado de los fines de control laboral a que iba a ser sometido. El hecho de que los trabajadores fueran informados de la colocación de dicho dispositivo es loable, pero no se contiene en esa información que los datos van a ser utilizados para control laboral, pudiendo ocasionar un despido o expediente disciplinario, de modo que los empleados sepan a qué atenerse. Igualmente, se acredita que la información a efectos de autodeterminación informativa (quien tiene los datos, con que finalidad y usos) no contenía pues no existía el mecanismo de ejercicio de derechos a los empleados. La alegación de la denunciada de que el afectado conocía de la instalación del dispositivo, incluso su esposa controlaba el mismo, se ha de entender en el sentido de que dicho control lo era para ponerse en contacto, mandar avisos o llamar y contactar con el empleado, no se acredita que la información sobre el dispositivo estuviera encaminada a la del control laboral, finalidad concreta y especifica de la que no se informó al denunciante. La finalidad del tratamiento protege a los afectados imponiendo limites sobre como el responsable del tratamiento ha de utilizar y es de esperar que vaya a utilizar los datos y los datos han de ser recogidos para una finalidad legitima, especifica y legitima, sin que puedan ser tratados para una finalidad incompatible con dichos propósitos. En el presente supuesto, no se discute el tratamiento incompatible con el ámbito laboral del control de la actividad, sino la falta de información en la recogida de los datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es III La infracción aparece tipificada como leve en el artículo 44.2.
18. c)de dicha norma, que considera como tal: “El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado“. IV La LOPD señala en su artículo 45: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros.” “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
19. a)El carácter continuado de la infracción.
20. b)El volumen de los tratamientos efectuados.
21. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
22. d)El volumen de negocio o actividad del infractor.
23. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
24. f)El grado de intencionalidad.
25. g)La reincidencia por comisión de infracciones de la misma naturaleza.
26. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
27. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
28. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. En la propuesta de resolución se indicaba que “Teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD la total ausencia de referencia en una cláusula informativa de protección de datos sobre uso y fines del tratamiento (45.4.j), y que podía afectar a todos los empleados (45.4.b de la LOPD), se propone una sanción de 8.000 euros.” Alega la denunciada la excesiva cuantía de la sanción propuesta, considerando: - No se han tenido en cuenta los puntos a, c, e, g y h del artículo 45.4 de la LOPD para imponer en su caso la sanción mínima. - Es una SL pequeña y solo tiene cuatro empleados. -No concurre intencionalidad pues la sentencia declara que la aplicación no violaba la intimidad, solo operaba en horario de prestación del servicio. 13/14 Sobre el hecho de que no es una infracción permanente, hay que tener en cuenta que el análisis de los movimientos de los datos que se incluían en la carta de despido comprendía las fechas de 3 a 19/02/2014, no pudiendo calificarse al menos como un solo tratamiento de datos. Sobre la alegación de que no afectó a su intimidad, entendiendo que no se verificaban los movimientos del móvil en horario fuera de trabajo, es solo una parte y lo mínimo exigible a un dispositivo de estas características. Lo cierto es que sí que afectó a su derecho a ser informado y conocer la finalidad y uso del dispositivo, encontrando sorpresivamente unos efectos en la carta de despido, que si constituye un perjuicio claro, sobre todo, considerando que si se hubiera informado clara y específicamente, dichos fines sí que podían haberse llevado a efecto. En cuanto a la ausencia de intencionalidad, no es óbice para que se aprecie una falta de diligencia como suele ser habitual en la comisión de las infracciones administrativas, consistente en el desarrollo de un sistema que se usa para una finalidad no advertida, de modo contrario a la LOPD. Sobre la falta de obtención de beneficios, en el ámbito del control laboral no es relevante, dado que el ámbito no supone una relación como podría ser la contratación de un servicio o adquisición de un bien, siendo otros fines los que subyacen en la misma. Sobre la falta de reincidencia que concurre, ya se ha considerado implícitamente en la escala de aplicación que va desde 900 a 40.000 euros, ratificando la imposición de una sanción de 8.000 euros. la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a VALMICS 2000 S.L., con NIF B97089940, por una infracción del artículo 5.1 de la LOPD, tipificada como leve en el artículo 44.2.
29. c)de la LOPD, una multa de 8.000 euros, de conformidad con el artículo 45.1), y 45.4
30. b)y
31. j)de la LOPD. SEGUNDO: NOTIFICAR la presente resolución a VALMICS 2000 S.L. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29/07, en relación con el art. 62 de la Ley 58/2003, de 17/12, mediante su ingreso en la cuenta restringida ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21/12, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26/11 de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07 reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos