← España

PS-00287-2017

1/9 Procedimiento Nº PS/00287/2017 RESOLUCIÓN: R/03376/2017 En el procedimiento sancionador PS/00287/2017, instruido por la Agencia Española de Protección de Datos a la entidad CENTRO DE ASISTENCIA Y ASESORÍA, S.L, vista la denuncia presentada por B.B.B., y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 3/08/2016 se registra denuncia de D. B.B.B. como Administrador de F.F.F. S.A (en lo sucesivo el denunciante) contra el encargado de tratamiento de los datos de su empresa: IURIS DRET EUROPA SL por haber subcontratado los servicios con una tercera entidad CENTRO DE ASESORÍA Y ASISTENCIA SLU. Manifiesta que tenía suscrito un contrato de prestación de servicios de asesoramiento laboral, de fecha 1/03/2014. En el mismo se establecía el acceso a datos para la gestión laboral de empleados de su empresa por parte de empleados de plantilla de IURIS DRET EUROPA SL. El denunciante expone que en el seno de un procedimiento de una reclamación de cantidad IURIS DRET EUROPA SL, inició un procedimiento arbitral el 8/06/2016. En el acceso a los documentos de dicha reclamación se ha enterado que la entidad CENTRO DE ASESORÍA Y ASISTENCIA SLU presenta ante la Tesorería General de la Seguridad Social (TGSS) documentos de cotización de empleados de F.F.F.. Entre otra, anexa la siguiente documentación:  Copia de un contrato suscrito entre IURIS DRET EUROPA y F.F.F., en el que figura que IURIS guardará reserva y confidencialidad sobre los datos personales en el fichero objeto de tratamiento respecto del que F.F.F. ostenta la condición de responsable del fichero. F.F.F. será la única que decidirá sobre la finalidad, uso y los sistemas de tratamiento de los datos a los que acceda IURIS. IURIS únicamente tratará dichos datos siguiendo las instrucciones de F.F.F.. También se incluye una cláusula en la que se indica que IURIS designará a las personas de su plantilla laboral como únicas personas autorizadas para acceder al fichero de datos del cliente que es objeto de tratamiento. En el pacto SEGUNDO se recogen los servicios que se prestan. No figura en el contrato mención a cesión de datos a terceros.  Copia de la reclamación presentada por IURIS DRET EUROPA SL (COLL ADVOCATS) al Tribunal Arbitral de Barcelona, figurando: o C/ Jorge Juan, 6 28001 – Madrid

  1. a)Una referencia en el punto TERCERO A) donde se manifiesta que CENTRO ASESORÍA y ASISTENCIA SL Sociedad perteneciente a COLL ADVOCATS (IURIS) presenta los TC 2 ante la TGSS, siendo esta www.agpd.es sedeagpd.gob.es 2/9 empresa la que “mi mandante utiliza para prestar los servicios de elaboración de nóminas y hacer las comunicaciones telemáticas con la Seguridad Social cada mes”. En dicha denuncia, además, figuran copias de la autorización concedida por la TGSS a CENTRO ASESORÍA para presentación de escritos telemáticamente y diversos documentos TC 2 (relación nominal de trabajadores) presentados por dicha entidad, según figura en los documentos, constando como fecha 20/05/2016, aunque corresponde a periodos anteriores como los meses de 2 y 3/2015, entre otros. La relación nominal de trabajadores contiene el número de afiliación, el identificador de persona física, que coincide con al número del DNI y las iniciales del nombre y apellidos, junto a las bases de cotización. En la resolución de autorización de la TGSS a CENTRO DE ASESORÍA, fechada el 9/01/2012 se indica: RESUELVE: “Autorizar el cambio de la razón social de autorización. En consecuencia a partir de la fecha de vigencia de esta resolución, D C.C.C. perteneciente al Colegio Oficial de Abogados de Barcelona, en nombre de CENTRO DE ASESORÍA y ASISTENCIA, y actuando en representación de las empresas que gestiona, queda autorizado a hacer uso del sistema de transmisión telemática para la comunicación a la TGSS de los datos relativos a las relaciones nominales de trabajadores, modalidad de pago de cuotas, presentación de altas, bajas y variaciones etc.”. o Se desprende del contenido de la reclamación Arbitral que F.F.F. notificó la rescisión de la relación laboral con IURIS (se desconoce la fecha de efectos). Con fecha 2/11/2016 el denunciante aporta copia de escrito de 4/10/2016 en el que el Tribunal Arbitral acuerda prorrogar el plazo para dictar Laudo hasta el 2/11/2016. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad IURIS DRET EUROPA SL , teniendo conocimiento el 14/03/2017, de: a. Las sociedades IURIS DRET EUROPA, S.L. y CENTRO DE ASESORÍA Y ASISTENCIA, S.L. son empresas pertenecientes al mismo grupo empresarial. C.C.C. que ostenta el 100 % del capital social de IURIS DRET también tiene el 60% del capital social de CENTRO DE ASESORÍA. Ambas entidades realizan la misma actividad, desde las mismas instalaciones, existiendo entre ellas una relación de máxima confianza y colaboración, prestándose mutuamente servicios de gestión laboral en momentos puntuales. b. Se adjunta copia del contrato suscrito entre IURIS DRET EUROPA, SLU y CENTRO DE ASESORÍA Y ASISTENCIA, SL fechado el 15/01/2008. En dicho contrato, figura entre otros extremos la autorización de CENTRO DE ASESORÍA Y ASISTENCIA a IURIS DRET EUROPA, para la utilización de su certificado de firma electrónica, para la presentación vía telemática ante la Tesorería General de la Seguridad Social y demás organismos públicos. Asimismo, consta una cláusula de Protección de Datos, en la que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 indica que cada una de las partes, en su caso, accederá a la información en calidad de encargado del tratamiento de los datos de los correspondientes clientes de ambas. TERCERO: Según impresión de la consulta que se incorpora a las actuaciones, a la entidad CENTRO DE ASESORÍA Y ASISTENCIA, SL, no le constan antecedentes de procedimientos previos en esta AEPD. Por otro lado, en la consulta a la web, en AXESOR, página que detalla información sobre las empresas, figura que CENTRO DE ASESORÍA y ASISTENCIA SL es una microempresa constituida el 29/06/1990 con 5 empleados. CUARTO: Con fecha 28/06/2017, la Directora de la AEPD acordó iniciar procedimiento sancionador a CENTRO DE ASESORÍA Y ASISTENCIA SLU., por la infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
  2. b)de dicha LOPD. La sanción que recogía el acuerdo de inicio a efectos del artículo 64.2.
  3. b)de la Ley 39/2015 de 1/10 en relación con los artículos 85.1y .2 de la misma norma, se estableció en 3.000 euros. QUINTO: Con fecha 19/07/2017 la denunciada manifiesta: 1) IURIS DRET tenía suscrito un contrato de encargado de tratamiento, artículo 12 de la LOPD con F.F.F.. a su vez IURIS tenía suscrito un contrato de encargado de tratamiento con centro de asistencia y ASESORÍA SL firmado el 15/01/2008. A continuaci0on y aunque la suscripción de un contrato al amparo del artículo 12 de la LOPD se indica que no supone cesión, alude a que existió una cesión de IRURIS a CENTRO DE ASISTENCIA Y ASESORÍA para el cumplimiento de fines directamente relacionados con las funciones legitimas del cedente y cesionario, cedente IURIS DRET, y cesionario CENTRO, para cumplir el contrato de prestación de servicios con F.F.F.. Uno de los aspectos que IRIS tenía que cumplimentar era la presentación y gestión de nóminas y actuaciones ante la Tesorería General de la Seguridad Social. 2) Reitera que IRIS y CENTRO de ASISTENCIA pertenecen al mismo grupo empresarial, titularidad de C.C.C., y pudiendo este tener solo un certificado digital, “éste estaba asignado por razones operativas a CENTRO DE ASISTENCIA, careciendo IURIS DRET de otro certificado.” “Esto justifica la cesión” entre las dos mercantiles con ese único propósito. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 3) IURIS DRET y F.F.F. firmaron el 10/03/2014 una ADENDA a su contrato en el que se indica que “IURIS DRET” informa, y “F.F.F. consiente” que aquella podrá “subcontratar a terceros, incluidas empresas de su mismo grupo, la prestación de servicios detallados en el contrato”. Acompaña copia de dicho contrato de 10/03/2014, en el que consta el literal “ADENDA 1 al contrato de arrendamiento de servicios profesionales. Cliente F.F.F. y F.F.F. SA”, refiere el contrato de arrendamiento de servicios profesionales suscrito con el cliente, 1/03/2014. En la cláusula primera se precisa tras citar los artículos 12 de la LOPD, y 20 y 21 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD); que F.F.F. autoriza expresamente a IURIS DRET EUROPA a subcontratar a terceros y a empresas de su mismo Grupo, la prestación de los servicios destallados en el contrato”. En la segunda clausula se indica que IURIS informa al cliente “quien consiente y autoriza expresamente que parte o la totalidad de los servicios del contrato sean prestados por la empresa CENTRO DE ASESORÍA y ASISTENCIA SLU”, entidad a la que identifica. En el pie del documento consta la firma y sello de F.F.F.. SEXTO: Con fecha 15/11/2017 se formuló propuesta de resolución, proponiendo: “Que por la Directora de la Agencia Española de Protección de Datos se declare el D.D.D. de la infracción del artículo 6.1 de la LOPD imputado a CENTRO DE ASESORÍA Y ASISTENCIA SLU., tipificada como grave en el artículo 44.3.b).” Frente a la misma no se recibieron alegaciones. HECHOS PROBADOS 1) F.F.F., S.A., tenía suscrito un contrato de prestación de servicios de asesoramiento laboral, de fecha 1/03/2014 con IURIS DRET EUROPA, S.L. En el mismo se establecía el acceso a datos para la gestión laboral de empleados de su empresa por parte de empleados de plantilla de IURIS DRET EUROPA, S.L. El representante de F.F.F. denuncia que con ocasión de una reclamación arbitral por impago que le interpuso IURIS DRET EUROPA el 8/06/2016 (folio 10) se ha enterado que la empresa CENTRO DE ASESORÍA Y ASISTENCIA SLU. ha accedido a datos de empleados de F.F.F. SA sin que figurara en el contrato que suscribió con IURIS dicha posibilidad. En el documento de presentación de la reclamación arbitral consta a efectos de acreditar documentalmente los servicios prestados, que CENTRO DE AESORIA Y ASISTENCIA SL presentaba ante la TGSS diversa documentación de los trabajadores de F.F.F. (13, 14) como presentación telemática de documentos TC2. 2) De la reclamación arbitral se desvela que F.F.F. notificó la rescisión de la relación con IURIS con efectos 9/04/2015. (13, 21). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 3) IURIS DRET EUROPA y F.F.F., suscribieron el 1/03/2014 un contrato de “arrendamiento de servicios profesionales” en el que figura que IURIS prestará a F.F.F. asesoramiento y gestión laboral, En la reclamación arbitral de IURIS indica que elaboraba nóminas y presentaba ante la TGSS los documentos de cotización de los empleados, circunstancia que también consta en el contrato de 1/03/2014. El contrato de 1/03/2014 indicaba además

(6)que IURIS prestaría servicios a F.F.F. accediendo al fichero de este, y que IURIS únicamente tratará dichos datos siguiendo las instrucciones de F.F.F.. También se incluye una cláusula en la que se indica que IURIS designará a las personas de su plantilla laboral como únicas personas autorizadas para acceder al fichero de datos del cliente que es objeto de tratamiento. En el pacto SEGUNDO se recogen los servicios que se prestan. No figura en el contrato mención a cesión de datos a terceros, si bien CENTRO DE ASESORÍA y ASISTENCIA SLU aporta en alegaciones al acuerdo una ADENDA al contrato de 1/03/2014 suscrita entre IURIS y F.F.F. de 10/03/2014 que el denunciante no aportó en su denuncia. Acompaña copia de dicho contrato de 10/03/2014, en el que consta el literal “ADENDA 1 al contrato de arrendamiento de servicios profesionales. Cliente F.F.F. y F.F.F.SA”, refiere el contrato de arrendamiento de servicios profesionales suscrito con el cliente, 1/03/2014. En la cláusula primera se precisa, tras citar los artículos 12 de la LOPD, y 20 y 21 del RLOPD; que F.F.F. “autoriza expresamente a IURIS DRET EUROPA a subcontratar a terceros y a empresas de su mismo Grupo, la prestación de los servicios destallados en el contrato”. En la segunda clausula se indica que IURIS informa al cliente “quien consiente y autoriza expresamente que parte o la totalidad de los servicios del contrato sean prestados por la empresa CENTRO DE ASESORÍA y ASISTENCIA SLU”, entidad a la que identifica. En el pie del documento consta el sello y firma de F.F.F.. 4) La TGSS autorizó el 1/01/2012 a CENTRO DE ASESORÍA Y ASISTENCIA, S.L., el uso del sistema de transmisión telemática para comunicación a la TGSS de la gestión de presentación de altas, bajas y variaciones, relaciones nominales de trabajadores conocido como sistema RED
(28). CENTRO DE ASESORÍA Y ASISTENCIA SL según copia de documentos que obran en la presentación de la reclamación arbitral, presentó los TC2 de F.F.F. del periodo 2, 3, 4/2015 (35, 36,37, 41 a 44, 51 a 53). 5) Las sociedades IURIS DRET EUROPA, S.L., y CENTRO DE ASESORÍA Y ASISTENCIA, S.L., son empresas pertenecientes al mismo grupo empresarial. IURIS DRET EUROPA, S.L.U., y CENTRO DE ASESORÍA Y ASISTENCIA, S.L., tenían suscrito un contrato fechado el 15/01/2008, en el que figuraba entre otros extremos la autorización de CENTRO DE ASESORÍA Y ASISTENCIA a IURIS DRET EUROPA, para la utilización de su certificado de firma electrónica, para la presentación vía telemática ante la Tesorería General de la Seguridad Social y demás organismos públicos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 6) A CENTRO DE ASESORÍA Y ASISTENCIA, S.L., no le constan antecedentes de procedimientos previos en la AEPD. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  1. g)en relación con el artículo 36 de la LOPD. II La circunstancia puesta de manifiesto con el tratamiento de datos de carácter personal referidos a los documentos enviados a la TGSS por parte de CENTRO DE ASESORÍA Y ASISTENCIA SLU supuso la imputación a esta de una infracción del artículo 6.1 de la LOPD, que señala que: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa.”. El artículo 12 de la LOPD regula el “Acceso a los datos por cuenta de terceros” indicando: 1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con el fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 Este artículo regula el encargo de tratamiento del responsable del fichero a un tercero, al que le permite acceder y tratar los datos sin que sea considerada una cesión: La LOPD define responsable del fichero en su artículo 3.d)” Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.”, en este caso F.F.F.. Mientras que encargado del tratamiento se define en el artículo de la misma norma como: “la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento.” En este caso IURIS. El encargo de tratamiento se caracteriza porque una entidad tiene un contrato con el responsable del fichero o del tratamiento para realizar una actividad subordinada por cuenta de otro. La suscripción del correspondiente contrato supone que no se produce cesión alguna de datos desde el responsable del fichero sino tratamiento por cuenta del mismo por una tercera entidad, IURIS, que en este caso subcontrata con CENTRO DE ASISTENCIA, disponiendo de respaldo legal para llevar a cabo dicho tratamiento. La LOPD prevé un contenido mínimo del contrato entre las partes en el que deben constar una serie de estipulaciones necesarias, a saber, seguir las instrucciones del responsable del tratamiento, no utilizar los datos para un fin distinto, no comunicarlos a otras personas (artículo 12.2 párrafo primero), estipular las medidas de seguridad del artículo 9 (artículo 12.2 párrafo segundo), y cumplida la prestación destruir los datos o proceder a su devolución al responsable del tratamiento (artículo 12.3). Dentro de la gestión laboral encomendada figuraba la materia objeto de la denuncia, presentación de documentos de trabajadores en forma de boletines TC2 ante la TGSS. Consta acreditado que existía una ADENDA al contrato inicial que permitía la subcontratación por parte del encargado de tratamiento. El artículo 21 del RLOPD indica: “1. El encargado del tratamiento no podrá subcontratar con un tercero la realización de ningún tratamiento que le hubiera encomendado el responsable del tratamiento, salvo que hubiera obtenido de éste autorización para ello. En este caso, la contratación se efectuará siempre en nombre y por cuenta del responsable del tratamiento. 2. No obstante lo dispuesto en el apartado anterior, será posible la subcontratación sin necesidad de autorización siempre y cuando se cumplan los siguientes requisitos:
  2. a)Que se especifiquen en el contrato los servicios que puedan ser objeto de subcontratación y, si ello fuera posible, la empresa con la que se vaya a subcontratar. Cuando no se identificase en el contrato la empresa con la que se vaya a subcontratar, será preciso que el encargado del tratamiento comunique al responsable los datos que la identifiquen antes de proceder a la subcontratación.
  3. b)Que el tratamiento de datos de carácter personal por parte del subcontratista se ajuste a las instrucciones del responsable del fichero. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9
  4. c)Que el encargado del tratamiento y la empresa subcontratista formalicen el contrato, en los términos previstos en el artículo anterior. En este caso, el subcontratista será considerado encargado del tratamiento, siéndole de aplicación lo previsto en el artículo 20.3 de este Reglamento. 3. Si durante la prestación del servicio resultase necesario subcontratar una parte del mismo y dicha circunstancia no hubiera sido prevista en el contrato, deberán someterse al responsable del tratamiento los extremos señalados en el apartado anterior.” Teniendo en cuenta que específicamente se preveía como servicio a prestar a F.F.F. en el contrato suscrito con IURIS la confección de nóminas, los tramites de altas, bajas y modificaciones de trabajadores en la Seguridad Social , confección de boletines de cotización a la Seguridad social entre otras, y que figura autorización a la empresa denunciada a realizar la prestación de los servicios destallados en el contrato, e identificando plenamente a la empresa denunciada, no procede sino el archivo de la imputación del tratamiento de datos sin consentimiento de los afectados, al constar contrato por parte del denunciante en que autoriza dicho tratamiento a la denunciada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR la infracción del artículo 6.1 de la LOPD imputada a CENTRO DE ASISTENCIA Y ASESORÍA, S.L. SEGUNDO: NOTIFICAR la presente resolución a CENTRO DE ASISTENCIA Y ASESORÍA, S.L. TERCERO: De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.