1/9 Procedimiento Nº PS/00288/2017 RESOLUCIÓN: R/03374/2017 En el procedimiento sancionador PS/00288/2017, instruido por la Agencia Española de Protección de Datos a la entidad IURIS DRET EUROPA, S.L., vista la denuncia presentada por A.A.A., y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 3/08/2016 se registra denuncia de D. A.A.A. como Administrador de F.F.F. S.A. (en lo sucesivo el denunciante) contra el encargado de tratamiento de los datos de su empresa: IURIS DRET EUROPA, S.L., por haber subcontratado los servicios con una tercera entidad CENTRO DE ASISTENCIA Y ASESORÍA, S.L. Manifiesta que tenía suscrito un contrato de prestación de servicios de asesoramiento laboral, de fecha 1/03/2014. En el mismo se establecía el acceso a datos para la gestión laboral de empleados de su empresa por parte de empleados de plantilla de IURIS DRET EUROPA, S.L. El denunciante expone que en el seno de un procedimiento de una reclamación de cantidad IURIS DRET EUROPA, S.L., inició un procedimiento arbitral el 8/06/2016. En el acceso a los documentos de dicha reclamación se ha enterado que la entidad CENTRO DE ASISTENCIA Y ASESORÍA, S.L., presenta ante la Tesorería General de la Seguridad Social (TGSS) documentos de cotización de empleados de F.F.F.. Entre otra, anexa la siguiente documentación: Copia de un contrato suscrito entre IURIS DRET EUROPA y F.F.F., en el que figura que IURIS guardará reserva y confidencialidad sobre los datos personales en el fichero objeto de tratamiento respecto del que F.F.F. ostenta la condición de responsable del fichero. F.F.F. será la única que decidirá sobre la finalidad, uso y los sistemas de tratamiento de los datos a los que acceda IURIS. IURIS únicamente tratará dichos datos siguiendo las instrucciones de F.F.F.. También se incluye una cláusula en la que se indica que IURIS designará a las personas de su plantilla laboral como únicas personas autorizadas para acceder al fichero de datos del cliente que es objeto de tratamiento. En el pacto SEGUNDO se recogen los servicios que se prestan. No figura en el contrato mención a cesión de datos a terceros. Copia de la reclamación presentada por IURIS DRET EUROPA, S.L. (COLL ADVOCATS) al Tribunal Arbitral de Barcelona, figurando: o C/ Jorge Juan, 6 28001 – Madrid
- a)Una referencia en el punto TERCERO A) donde se manifiesta que CENTRO ASESORÍA y ASISTENCIA SL Sociedad perteneciente a COLL ADVOCATS (IURIS) presenta los TC 2 ante la TGSS, siendo esta empresa la que “mi mandante utiliza para prestar los servicios de elaboración de nóminas y hacer las comunicaciones telemáticas con la Seguridad Social cada mes”. En dicha denuncia, además, figuran copias www.agpd.es sedeagpd.gob.es 2/9 de la autorización concedida por la TGSS a CENTRO ASESORÍA para presentación de escritos telemáticamente y diversos documentos TC 2 (relación nominal de trabajadores) presentados por dicha entidad, según figura en los documentos, constando como fecha 20/05/2016, aunque corresponde a periodos anteriores como los meses de 2 y 3/2015, entre otros. La relación nominal de trabajadores contiene el número de afiliación, el identificador de persona física, que coincide con al número del DNI y las iniciales del nombre y apellidos, junto a las bases de cotización. En la resolución de autorización de la TGSS a CENTRO DE ASESORÍA, fechada el 9/01/2012 se indica: RESUELVE: “Autorizar el cambio de la razón social de autorización. En consecuencia a partir de la fecha de vigencia de esta resolución, D C.C.C. perteneciente al Colegio Oficial de Abogados de Barcelona, en nombre de CENTRO DE ASESORÍA y ASISTENCIA, y actuando en representación de las empresas que gestiona, queda autorizado a hacer uso del sistema de transmisión telemática para la comunicación a la TGSS de los datos relativos a las relaciones nominales de trabajadores, modalidad de pago de cuotas, presentación de altas, bajas y variaciones etc.”. o Se desprende del contenido de la reclamación Arbitral que F.F.F. notificó la rescisión de la relación laboral con IURIS (se desconoce la fecha de efectos). Con fecha 2/11/2016 el denunciante aporta copia de escrito de 4/10/2016 en el que el Tribunal Arbitral acuerda prorrogar el plazo para dictar Laudo hasta el 2/11/2016. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad IURIS DRET EUROPA SL , teniendo conocimiento el 14/03/2017, de: a. Las sociedades IURIS DRET EUROPA, S.L., y CENTRO DE ASESORÍA Y ASISTENCIA, S.L. son empresas pertenecientes al mismo grupo empresarial. C.C.C. que ostenta el 100 % del capital social de IURIS DRET también tiene el 60% del capital social de CENTRO DE ASESORÍA. Ambas entidades realizan la misma actividad, desde las mismas instalaciones, existiendo entre ellas una relación de máxima confianza y colaboración, prestándose mutuamente servicios de gestión laboral en momentos puntuales. b. Se adjunta copia del contrato suscrito entre IURIS DRET EUROPA, SL. y CENTRO DE ASESORÍA Y ASISTENCIA, SL fechado el 15/01/2008. En dicho contrato, figura entre otros extremos la autorización de CENTRO DE ASESORÍA Y ASISTENCIA a IURIS DRET EUROPA, para la utilización de su certificado de firma electrónica, para la presentación vía telemática ante la Tesorería General de la Seguridad Social y demás organismos públicos. Asimismo, consta una cláusula de Protección de Datos, en la que se indica que cada una de las partes, en su caso, accederá a la información en calidad de encargado del tratamiento de los datos de los correspondientes clientes de ambas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 TERCERO: Según impresión de la consulta que se incorpora a las actuaciones, a la entidad CENTRO DE ASESORÍA Y ASISTENCIA, S.L., no le constan antecedentes de procedimientos previos en esta AEPD. Por otro lado, en la consulta a la web, en AXESOR, página que detalla información sobre las empresas, figura que CENTRO DE ASESORÍA y ASISTENCIA SL es una microempresa constituida el 29/06/1990 con 5 empleados. CUARTO: Con fecha 28/06/2017, la Directora de la AEPD acordó iniciar procedimiento sancionador a IURIS DRET EUROPA, SL. por la infracción del artículo 11.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- k)de dicha LOPD. La sanción que recogía el acuerdo de inicio a efectos del artículo 64.2.
- b)de la Ley 39/2015 de 1/10 en relación con los artículos 85.1y .2 de la misma norma, se estableció en 3.000 euros. No consta que la denunciada realizara alegaciones. QUINTO: Se incorpora por guardar relación con el presente procedimiento las alegaciones que CENTRO DE ASISTENCIA Y ASESORÍA, S.L. realizó en el procedimiento en el que figura como denunciada por infracción del artículo 6.1 de la LOPD por los hechos procedentes de la misma denuncia. Con fecha 19/07/2017 CENTRO DE ASISTENCIA Y ASESORÍA, S.L. manifiesta: 1) IURIS DRET tenía suscrito un contrato de encargado de tratamiento, artículo 12 de la LOPD con F.F.F.. a su vez IURIS tenía suscrito un contrato de encargado de tratamiento con centro de asistencia y ASESORÍA SL firmado el 15/01/2008. A continuaci0on y aunque la suscripción de un contrato al amparo del artículo 12 de la LOPD se indica que no supone cesión, alude a que existió una cesión de IRURIS a CENTRO DE ASISTENCIA Y ASESORÍA para el cumplimiento de fines directamente relacionados con las funciones legitimas del cedente y cesionario, cedente IURIS DRET, y cesionario CENTRO, para cumplir el contrato de prestación de servicios con F.F.F.. Uno de los aspectos que IRIS tenía que cumplimentar era la presentación y gestión de nóminas y actuaciones ante la Tesorería General de la Seguridad Social. 2) Reitera que IURIS y CENTRO de ASISTENCIA pertenecen al mismo grupo empresarial, titularidad de C.C.C., y pudiendo este tener solo un certificado digital, “éste estaba asignado por razones operativas a CENTRO DE ASISTENCIA, careciendo IURIS DRET de otro certificado.” “Esto justifica la cesión” entre las dos mercantiles con ese único propósito. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 3) IURIS DRET y F.F.F. firmaron el 10/03/2014 una ADENDA a su contrato en el que se indica que “IURIS DRET” informa, y “F.F.F. consiente” que aquella podrá “subcontratar a terceros, incluidas empresas de su mismo grupo, la prestación de servicios detallados en el contrato”. Acompaña copia de dicho contrato de 10/03/2014, en el que consta el literal “ADENDA 1 al contrato de arrendamiento de servicios profesionales. Cliente F.F.F. y F.F.F.SA”, refiere el contrato de arrendamiento de servicios profesionales suscrito con el cliente, 1/03/2014. En la cláusula primera se precisa tras citar los artículos 12 de la LOPD, y 20 y 21 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD); que F.F.F. autoriza expresamente a IURIS DRET EUROPA a subcontratar a terceros y a empresas de su mismo Grupo, la prestación de los servicios destallados en el contrato”. En la segunda clausula se indica que IURIS informa al cliente “quien consiente y autoriza expresamente que parte o la totalidad de los servicios del contrato sean prestados por la empresa CENTRO DE ASESORÍA y ASISTENCIA SLU”, entidad a la que identifica. En el pie del documento consta la firma y sello de F.F.F.. SEXTO: Con fecha 15/11/2017 se formuló propuesta de resolución en el sentido de que: ”Que por la Directora de la Agencia Española de Protección de Datos se declare el D.D.D. de la infracción del artículo 11.1 de la LOPD imputado a IURIS DRET EUROPA, SL. tipificada como grave en el artículo 44.3.k).” HECHOS PROBADOS 1) F.F.F. SA tenía suscrito un contrato de prestación de servicios de asesoramiento laboral, de fecha 1/03/2014 con IURIS DRET EUROPA SL. En el mismo se establecía el acceso a datos para la gestión laboral de empleados de su empresa por parte de empleados de plantilla de IURIS DRET EUROPA SL. El representante de F.F.F. denuncia que con ocasión de una reclamación arbitral por impago que le interpuso IURIS DRET EUROPA el 8/06/2016 (folio 10) se ha enterado que la empresa CENTRO DE ASISTENCIA Y ASESORÍA, S.L. ha accedido a datos de empleados de F.F.F. SA sin que figurara en el contrato que suscribió con IURIS dicha posibilidad. En el documento de presentación de la reclamación arbitral consta a efectos de acreditar documentalmente los servicios prestados, que CENTRO DE AESORIA Y ASISTENCIA SL presentaba ante la TGSS diversa documentación de los trabajadores de F.F.F. (13, 14) como presentación telemática de documentos TC2. 2) De la reclamación arbitral se desvela que F.F.F. notificó la rescisión de la relación con IURIS con efectos 9/04/2015. (13, 21). 3) IURIS DRET EUROPA y F.F.F., suscribieron el 1/03/2014 un contrato de “arrendamiento de servicios profesionales” en el que figura que IURIS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 prestará a F.F.F. asesoramiento y gestión laboral, En la reclamación arbitral de IURIS indica que elaboraba nóminas y presentaba ante la TGSS los documentos de cotización de los empleados, circunstancia que también consta en el contrato de 1/03/2014. El contrato de 1/03/2014 indicaba además
(6)que IURIS prestaría servicios a F.F.F. accediendo al fichero de este, y que IURIS únicamente tratará dichos datos siguiendo las instrucciones de F.F.F.. También se incluye una cláusula en la que se indica que IURIS designará a las personas de su plantilla laboral como únicas personas autorizadas para acceder al fichero de datos del cliente que es objeto de tratamiento. En el pacto SEGUNDO se recogen los servicios que se prestan. No figura en el contrato mención a cesión de datos a terceros, si bien CENTRO DE ASESORÍA y ASISTENCIA SLU aporta en alegaciones al acuerdo una ADENDA al contrato de 1/03/2014 suscrita entre IURIS y F.F.F. de 10/03/2014 que el denunciante no aportó en su denuncia. Acompaña copia de dicho contrato de 10/03/2014, en el que consta el literal “ADENDA 1 al contrato de arrendamiento de servicios profesionales. Cliente F.F.F. y F.F.F.SA”, refiere el contrato de arrendamiento de servicios profesionales suscrito con el cliente, 1/03/2014. En la cláusula primera se precisa, tras citar los artículos 12 de la LOPD, y 20 y 21 del RLOPD; que F.F.F. “autoriza expresamente a IURIS DRET EUROPA a subcontratar a terceros y a empresas de su mismo Grupo, la prestación de los servicios destallados en el contrato”. En la segunda clausula se indica que IURIS informa al cliente “quien consiente y autoriza expresamente que parte o la totalidad de los servicios del contrato sean prestados por la empresa CENTRO DE ASESORÍA y ASISTENCIA SLU”, entidad a la que identifica. En el pie del documento consta el sello y firma de F.F.F.. 4) La TGSS autorizó el 1/01/2012 a CENTRO DE ASESORÍA Y ASISTENCIA SL el uso del sistema de transmisión telemática para comunicación a la TGSS de la gestión de presentación de altas, bajas y variaciones, relaciones nominales de trabajadores conocido como sistema RED
(28). CENTRO DE ASESORÍA Y ASISTENCIA SL según copia de documentos que obran en la presentación de la reclamación arbitral, presentó los TC2 de F.F.F. del periodo 2, 3, 4/2015 (35, 36,37, 41 a 44, 51 a 53). 5) Las sociedades IURIS DRET EUROPA, S.L. y CENTRO DE ASESORÍA Y ASISTENCIA, S.L. son empresas pertenecientes al mismo grupo empresarial. IURIS DRET EUROPA, SL. y CENTRO DE ASESORÍA Y ASISTENCIA, SL tenían suscrito un contrato fechado el 15/01/2008, en el que figuraba entre otros extremos la autorización de CENTRO DE ASESORÍA Y ASISTENCIA a IURIS DRET EUROPA, para la utilización de su certificado de firma electrónica, para la presentación vía telemática ante la Tesorería General de la Seguridad Social y demás organismos públicos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 6) A CENTRO DE ASESORÍA Y ASISTENCIA, SL, no le constan antecedentes de procedimientos previos en la AEPD. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II La circunstancia puesta de manifiesto con la eventual cesión de datos que gestionaba IURIS de los empleados de F.F.F. al CENTRO DE ASISTENCIA Y ASESORÍA, S.L que presentó telemáticamente los documentos de cotización a la TGSS, supuso la imputación a la primera de una infracción del artículo 11.1 de la LOPD, que señala que: “Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado.” El artículo 12 de la LOPD regula el “Acceso a los datos por cuenta de terceros” indicando: 1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con el fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 Este artículo regula el encargo de tratamiento del responsable del fichero a un tercero, al que le permite acceder y tratar los datos sin que sea considerada una cesión: La LOPD define responsable del fichero en su artículo 3.d)” Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.”, en este caso F.F.F.. Mientras que encargado del tratamiento se define en el artículo de la misma norma que indica:”la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento.” En este caso IURIS. El encargo de tratamiento se caracteriza porque una entidad tiene un contrato con el responsable del fichero o del tratamiento para realizar una actividad subordinada por cuenta de otro. La suscripción del correspondiente contrato supone que no se produce cesión alguna de datos desde el responsable del fichero sino tratamiento por cuenta del mismo por una tercera entidad, IURIS, que en este caso subcontrata con CENTRO DE ASITENCIA, disponiendo de respaldo legal para llevar a cabo dicho tratamiento. La LOPD prevé un contenido mínimo del contrato entre las partes en el que deben constar una serie de estipulaciones necesarias, a saber, seguir las instrucciones del responsable del tratamiento, no utilizar los datos para un fin distinto, no comunicarlos a otras personas (artículo 12.2 párrafo primero), estipular las medidas de seguridad del artículo 9 (artículo 12.2 párrafo segundo), y cumplida la prestación destruir los datos o proceder a su devolución al responsable del tratamiento (artículo 12.3). Dentro de la gestión laboral encomendada figuraba la materia objeto de la denuncia, presentación de documentos de trabajadores en forma de boletines TC2 ante la TGSS. Consta acreditado que existía una ADENDA al contrato inicial que permitía la subcontratación por parte del encargado de tratamiento. El artículo 21 del RLOPD indica: “1. El encargado del tratamiento no podrá subcontratar con un tercero la realización de ningún tratamiento que le hubiera encomendado el responsable del tratamiento, salvo que hubiera obtenido de éste autorización para ello. En este caso, la contratación se efectuará siempre en nombre y por cuenta del responsable del tratamiento. 2. No obstante lo dispuesto en el apartado anterior, será posible la subcontratación sin necesidad de autorización siempre y cuando se cumplan los siguientes requisitos:
- a)Que se especifiquen en el contrato los servicios que puedan ser objeto de subcontratación y, si ello fuera posible, la empresa con la que se vaya a subcontratar. Cuando no se identificase en el contrato la empresa con la que se vaya a subcontratar, será preciso que el encargado del tratamiento comunique al responsable los datos que la identifiquen antes de proceder a la subcontratación.
- b)Que el tratamiento de datos de carácter personal por parte del subcontratista se ajuste a las instrucciones del responsable del fichero.
- c)Que el encargado del tratamiento y la empresa subcontratista formalicen el contrato, en los términos previstos en el artículo anterior. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 En este caso, el subcontratista será considerado encargado del tratamiento, siéndole de aplicación lo previsto en el artículo 20.3 de este Reglamento. 3. Si durante la prestación del servicio resultase necesario subcontratar una parte del mismo y dicha circunstancia no hubiera sido prevista en el contrato, deberán someterse al responsable del tratamiento los extremos señalados en el apartado anterior.” Teniendo en cuenta que específicamente se preveía como servicio a prestar a F.F.F. en el contrato suscrito con IURIS la confección de nóminas, los tramites de altas, bajas y modificaciones de trabajadores en la Seguridad Social , confección de boletines de cotización a la Seguridad social entre otras, y que figura autorización a IURIS a realizar la prestación de los servicios destallados en el contrato, a través de CENTRO DE ASISTENCIA, identificando plenamente a la empresa denunciada, no procede sino el archivo de la imputación de la cesión de datos sin consentimiento de los afectados, al constar contrato por parte del denunciante en que autoriza dicho tratamiento a IURIS. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ACRHIVAR la infracción del artículo 11.1 de la LOPD imputada a IURIS DRET EUROPA, SL. SEGUNDO: NOTIFICAR la presente resolución a IURIS DRET EUROPA, SL. TERCERO: De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es