← España

PS-00258-2019

1/9  Procedimiento Nº: PS/00258/2019 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Dña. A.A.A. (en adelante la reclamante) con fecha 14/01/2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra APROVECHAMIENTOS MADEREROS Y TRATAMIENTO PARA EXTERIORES, S.A.U. con NIF A42147090 (en adelante, AMATEX). Los motivos en que basa la reclamación son en síntesis los siguientes: que AMATEX proporcionó un informe (que se adjunta) a la mercantil Ares Gabinete Tributario y de Gestión, S.L. (en lo sucesivo ARES), con sus datos personales para usarlo a su favor y en contra de su marido y de ella como prueba en el Juzgado de Primera Instancia nº 2 de Soria por una demanda interpuesta a la empresa Ares; señala que el Juzgado no ha solicitado ningún informe al respecto. Aporta copia del certificado controvertido emitido por AMATEX el 21/11/2018 SEGUNDO: Tras la recepción de la reclamación, la Subdirección General de Inspección de Datos procedió a realizar las siguientes actuaciones: El 14/02/2019, fue trasladada al reclamado la reclamación presentada para su análisis y comunicación al afectado de la decisión adoptada al respecto. Igualmente, se le requería para que en el plazo de un mes remitiera a la Agencia determinada información: - Copia de las comunicaciones, de la decisión adoptada que haya remitido al reclamante a propósito del traslado de esta reclamación, y acreditación de que el reclamante ha recibido la comunicación de esa decisión. - Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. - Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares. - Cualquier otra que considere relevante. En la misma fecha se le comunicaba a la reclamante la recepción de la reclamación y su traslado a la entidad reclamada. El reclamado mediante escrito de 20/03/2019 señala que no ha facilitado ni cedido datos personales de la reclamante a ningún tercero, por lo que entendía que no procedía admitir dicha reclamación. Asimismo, señalaba que se había remitida comunicación a la reclamante en este mismo sentido, acreditando su recepción. El 26/03/2019 la reclamante remitía nuevo escrito señalando su desacuerdo con la comunicación recibida de AMATEX, aportando entre otra documentación: escrito del del reclamado a ARES, en el que informa de la relación mantenida por la reclamante con AMATEX; escrito remitido por la reclamante a AMATEX relacionada con la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 regularización de su situación laboral y la respuesta de la empresa, así como el e-mail enviado a personal de la empresa relacionado con la externalización de parte del departamento de personal. TERCERO: El 11/07/2019, de conformidad con el artículo 65 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante contra el reclamado. CUARTO: Con fecha 30/10/2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del artículo 5.1.

  1. f)del RGPD, tipificada en el artículo 85.5.
  2. a)del RGPD. QUINTO: Notificado el citado acuerdo de inicio, el reclamado mediante escrito de 18/11/2019 solicitó copia de los documentos que integraban el expediente y ampliación de plazo para alegaciones; en fecha 21/11/2019 fueron remitidos los documentos solicitados y ampliado el plazo para contestar. Mediante escrito de 03/12/2019 el reclamado alegaba, en síntesis, lo siguiente: que AMATEX no había facilitado ni cedido datos personales de la reclamante a ningún tercero y que el informe al que alude la reclamante fue expedido a solicitud de ARES como consecuencia de un procedimiento judicial sin reflejar en el mismo ningún datos personal distinto de los que ARES conocía previamente por la relación que mantuvo la reclamante para el desarrollo de las funciones propias de su puesto en la empresa. SEXTO: Con fecha 19/12/2019 se inició la apertura de un período de práctica de pruebas, acordándose las siguientes: Dar por reproducidos a efectos probatorios la reclamación interpuesta por la reclamante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/02128/2019. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por el reclamado y la documentación que a ellas acompaña. Solicitar a la reclamante copia de toda la documentación que obre en su poder relativa al procedimiento sancionador que por cualquier motivo no hubieran sido aportadas en el momento de la denuncia ó, cualquier otra manifestación en relación con los hechos denunciados. Asimismo, se solicitaba copia de la demanda interpuesta en el Juzgado de Primera Instancia nº 2 de Soria. La reclamante dio respuesta a la prueba propuesta cuyo contenido obra en el expediente. SEPTIMO: El 02/06/2020 fue emitida Propuesta de Resolución en el sentido de que por la Directora de la AEPD se sancionara al reclamando por la infracción del artículo 5.1.
  3. f)del RGPD tipificado en el artículo 85.5.a), con apercibimiento de conformidad con el artículo 58.2 del citado Reglamento. En fecha 26/06/2020 el reclamado presente escrito de alegaciones reiterando lo ya manifestado a lo largo del procedimiento considerando que no había facilitado ni cedido datos personales de la reclamante a ningún tercero. OCTAVO: De las actuaciones practicadas han quedado acreditados los siguientes, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 HECHOS PROBADOS PRIMERO. El 12/01/2019 tiene entrada en la AEPD escrito reclamando a AMATEX, al proporcionar un informe a la mercantil ARES con sus datos de carácter personal a fin de utilizarlo contra su marido, al ser aportado como prueba en el Juzgado de Primera Instancia nº 2 de Soria por demanda interpuesta contra aquel y sin que el Juzgado lo haya solicitado. SEGUNDO. La reclamante aporta copia de su DNI nº ***NIF.1. TERCERO. ARES en escrito de 14/11/2018 se dirigió a AMATEX indicando que: “Como consecuencia del procedimiento judicial (Juicio Verbal 489/2018 del Juzgado de Primera Instancia nº 2 de Soria) en el que se encuentra incurso ARES solicitamos nos informen si dentro de las funciones desarrolladas por la reclamante en su empresa, se encontraban las funciones vinculadas con los trámites relacionados con expedientes de subvenciones, creación y mantenimiento de empleo convocadas por las Administraciones Públicas. Y ello a los únicos y exclusivos efectos de ponerlo de manifiesto en el indicado procedimiento”. CUARTO. Consta escrito de AMATEX de 21/11/2018 manifestando: “Les dirigimos la presente en relación a la reclamante, NIF…, la cual, dada nuestra condición de encargados de la gestión laboral de su compañía, conocemos fue empleada por cuenta ajena de AMATEX. Que la reclamante con DNI… prestó sus servicios para AMATEX desde fecha 1 de diciembre de 2009 hasta 5 de marzo de 2017 desempeñando el puesto de RESPONSABLE DE PERSONAL desde fecha 10 de mayo de 2010 hasta la fecha de su cese. Entre sus funciones se encontraba la valoración, solicitud, gestión, tramitación y seguimiento de subvenciones públicas por creación/mantenimiento de empleo convocadas por las diversas administraciones públicas”. QUINTO. AMATEX en escrito de respuesta al requerimiento informativo de la AEPD manifestaba que no había facilitado ni cedido datos personales de la reclamante a ningún tercero motivo por el cual no existe ninguna incidencia cuya causa que analizar ni medida alguna a adoptar. SEXTO. Consta que el marido de la reclamante interpuso demanda de Juicio Verbal 489/2018 ante el Juzgado de Primera Instancia nº 2 de Soria, ejercitando la acción de reclamación en la cuantía de 3.000 euros, contra ARES. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II Los hechos denunciados se concretan en el envío por el reclamado de un informe conteniendo los datos de carácter personal e información sobre la actividad realizada en AMATEX por la reclamante a la mercantil ARES para ser aportados y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 utilizados ante el Juzgado de Primera Instancia nº 2 de Soria por una demanda interpuesta por su marido, vulnerando el deber de confidencialidad. El artículo 58 del RGPD, Poderes, señala: “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  4. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)
  5. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; (…)” El artículo 5, Principios relativos al tratamiento, del RGPD establece que: “1. Los datos personales serán: (…)
  6. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). (…)” Y el artículo 6, Licitud del tratamiento, del RGPD determina que: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  7. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  8. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  9. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  10. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  11. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  12. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 Lo dispuesto en la letra
  13. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. (…)” También el artículo 5, Deber de confidencialidad, de la nueva Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), señala que: “1. Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
  14. f)del Reglamento (UE) 2016/679. 2. La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable. 3. Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento”. III La documentación obrante en el expediente evidencia que AMATEX ha vulnerado el artículo 5 del RGPD, principios relativos al tratamiento, en relación con el artículo 5 de la LOPGDD, deber de confidencialidad, al revelar a un tercero, ARES, los datos de la reclamante incluidos en un informe que le fue solicitado por este y donde constan, además de los citados datos, un compendio de la vida laboral en la empresa de la reclamante. Este deber de confidencialidad, con anterioridad deber de secreto, debe entenderse que tiene como finalidad evitar que se realicen filtraciones de los datos no consentidas por los titulares de los mismos a terceros. Por tanto, ese deber de confidencialidad es una obligación que incumbe no sólo al responsable y al encargado del tratamiento sino a todo aquel que intervenga en cualquier fase del tratamiento y complementaria del deber de secreto profesional. Consta acreditado que AMATEX remitió a ARES escrito de 21/11/2018 en el que informaba: “Que la reclamante con DNI… prestó sus servicios para AMATEX desde fecha 1 de diciembre de 2009 hasta 5 de marzo de 2017 desempeñando el puesto de RESPONSABLE DE PERSONAL desde fecha 10 de mayo de 2010 hasta la fecha de su cese. Entre sus funciones se encontraba la valoración, solicitud, gestión, tramitación y seguimiento de subvenciones públicas por creación/mantenimiento de empleo convocadas por las diversas administraciones públicas”. El citado informe, en el que figuraban sus datos personales (nombre, apellidos, etc.) y, además, información sobre la vida laboral desempeñada en la empresa fueron aportados por ARES como prueba en un proceso judicial ajeno a la reclamante y donde era parte activa el marido de la misma, quien había demandado a ARES en juicio verbal ante el Juzgado de Primera Instancia nº 2 de Soria, ejercitando la acción de reclamación. IV C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 En primer lugar, antes de entrar a examinar la cuestión principal hay que señalar que nada hay que oponer a la aportación por ARES en sede judicial del informe emitido por AMATEX en el legítimo ejercicio de su derecho de defensa, por cuanto la exigibilidad del consentimiento del titular de los datos que pudieran ser objeto de un tratamiento en un procedimiento judicial para dicho tratamiento de sus datos supondría dejar a disposición de aquél la información necesaria para que una persona pueda ejercer, en plenitud, su derecho a la tutela judicial efectiva e implicaría, lógicamente, una merma en la posibilidad de aportación por el interesado de “los medios de prueba pertinentes para su defensa”, vulnerándose otra de las garantías derivadas del citado derecho a la tutela efectiva y coartándose la posibilidad de obtener el pleno desenvolvimiento de este derecho. Sentado lo anterior, de la documentación obrante en el expediente se desprende que el reclamado proporcionó a un tercero, ARES, mediante escrito de 21/11/2018 un informe referido anteriormente que fue aportado el Juzgado de Primera Instancia nº 2 de Soria. De conformidad con lo expresado con anterioridad, el tratamiento de datos requiere la existencia de una base legal que lo legitime, como garantía de seguridad adecuada para la integridad y confidencialidad de los datos. En escrito de alegaciones de 03/12/2019 AMATEX ha manifestado y reiterado que no había facilitado los datos personales de la reclamante a terceros. Sin embargo, tal alegación no se sostiene cuando seguidamente manifiesta y reconoce que el informe de 21/11/2018 fue expedido por AMATEX a solicitud de ARES, como consecuencia de un procedimiento judicial y que la información que se reflejaba en el citado informe ya era conocida por la asesoría por lo que no se comprometía la privacidad ni vulneraba la protección de dato alguno. Hay que considerar que en el presente caso no existe base legal que legitime el tratamiento de datos personales de la reclamante por AMATEX para la finalidad perseguida, de conformidad con lo señalado en el artículo 6.1 del RGPD. Anteriormente se señalaba que únicamente pueden tratarse datos cuando tengan el consentimiento de las personas en cuestión, cuando tengan una obligación contractual, para cumplir con una obligación legal, cuando el tratamiento sea necesario para el cumplimiento de una misión realizada en interés público, para proteger los intereses vitales del interesado, para satisfacer los intereses legítimos de su organización, pero solo tras haber comprobado que los derechos y libertades fundamentales de la persona cuyos datos estén tratando no se vean significativamente afectados; si los derechos de la persona prevalecen sobre sus intereses, no podrán tratar los datos basándose en el interés legítimo; la evaluación sobre si sus intereses legítimos para el tratamiento prevalecen sobre los de las personas afectadas depende de las circunstancias individuales del caso. En primer lugar, es evidente que el informe en el que figuran los datos personales de la reclamante para aportarlo como prueba ante en el Juzgado de Primera Instancia nº 2 de Soria por una demanda interpuesta contra ARES, no contaba con el consentimiento de la reclamante, no siendo ni ella ni AMATEX partes C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 activas o pasivas en dicho proceso y, además, el citado elemento probatorio controvertido aportado en juicio verbal, no consta fuera requerido por el tribunal y que por tanto hubiera sido quien determinara dicha circunstancia. En segundo lugar, a efectos meramente dialecticos podríamos considerar que AMATEX tiene un interés legítimo en aportar dicho informe en juicio; sin embargo, tal circunstancia tampoco cabe considerarla puesto que ni la reclamante ni el reclamado forman parte del proceso como se señala en el párrafo precedente y, en el ejercicio de la ponderación habría que considerar que los derechos y libertades de la reclamante prevalecen sobre los intereses del responsable; además, corresponde al responsable del tratamiento demostrar que el tratamiento es necesario y proporcional para el interés legítimo perseguido y que no invalida los derechos del interesado. V El artículo 83.5.
  15. a)del RGPD, considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado RGPD, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. La LOPDGDD en su artículo 72 indica a efectos de prescripción: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  16. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” No obstante, el artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  17. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)” Por tanto, el RGPD, sin perjuicio de lo establecido en su artículo 83, contempla en su artículo 58.2
  18. b)la posibilidad de acudir al apercibimiento para corregir los tratamientos de datos personales que no se adecúen a sus previsiones. En el presente supuesto el reclamado vulneró el artículo 5 del RGPD, principios relativos al tratamiento, en relación con el artículo 5 de la LOPGDD, deber de confidencialidad, al revelar a un tercero, los datos de la reclamante incluidos en un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 informe proporcionado por AMATEX a ARES, con la finalidad de usarlos como prueba en el Juzgado de Primera Instancia nº 2 de Soria motivado por una demanda interpuesta por el marido de la reclamante, sin que exista base legal que lo legitime. De conformidad con las evidencias de las que se dispone, dicha conducta es constitutiva de la infracción a lo dispuesto en el artículo 5.1.
  19. f)del RGPD. Esta infracción podría ser sancionada con apercibimiento de acuerdo con el artículo 58.2.
  20. b)del RGPD y considerar que la multa administrativa que pudiera recaer con arreglo a los dispuesto en el artículo 83.5.
  21. b)del RGPD constituiría una carga desproporcionada para el reclamado, cuya actividad principal no está directamente vinculada al tratamiento de datos personales, amén de que no consta la comisión de ninguna infracción anterior en materia de protección de datos y de que informó al reclamante acerca de los hechos ocurridos. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a APROVECHAMIENTOS MADEREROS Y TRATAMIENTO PARA EXTERIORES, S.A.U. (AMATEX), con NIF A42147090, por una infracción del aartículo 5.1.
  22. f)del RGPD, tipificada en el Artículo 83.5.
  23. a)del RGPD, una sanción de apercibimiento de conformidad con el artículo 58.2 del citado Reglamento. SEGUNDO: NOTIFICAR la presente resolución a APROVECHAMIENTOS MADEREROS Y TRATAMIENTO PARA EXTERIORES, S.A.U. (AMATEX). TERCERO: REQUERIR a APROVECHAMIENTOS MADEREROS Y TRATAMIENTO PARA EXTERIORES, S.A.U. (AMATEX), para que en el plazo de un mes desde la notificación de esta resolución, acredite la adopción de medidas técnicas y organizativas pertinentes a fin de garantizar que el tratamiento de los datos se realiza de conformidad con la normativa en materia de protección de datos de carácter personal para asegurar la confidencialidad de la información incluida en sus sistemas y a fin de evitar que en el futuro vuelvan a producirse incidencias como las que han dado lugar a la reclamación que ha motivado la apertura del procedimiento, de manera que el tratamiento de los datos se adecue a las exigencias contempladas en el artículo 5.1, letra
  24. f)del RGPD.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  25. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.