1/17 Procedimiento Nº PS/00382/2016 RESOLUCIÓN: R/00695/2017 En el procedimiento sancionador PS/00382/2016, instruido por la Agencia Española de Protección de Datos a la entidad EULEN SEGURIDAD S.A.., vista la denuncia presentada por F.F.F., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 14/09/2015 tiene entrada en esta Agencia una denuncia de F.F.F. y otras dos personas, en su calidad de C.C.C. (Vigilancia y Seguridad) de EULEN SEGURIDAD, SA, en el centro de trabajo “Hospital B.B.B.” en la que manifiestan:
- Desde el año 2012 la empresa está recabando en el contrato laboral los números de teléfono móvil y direcciones de correo personales de los trabajadores. La recogida se efectúa mediante una cláusula que obliga al empleado a aportarlos en el momento de la contratación. Posteriormente son utilizados con el fin de comunicar el recibo de la nómina y comunicados sobre formación. Denuncian que estos datos no se han proporcionado con el consentimiento inequívoco de los empleados. Aportan una sentencia de la Sala de lo Social de la Audiencia Nacional de 28/01/2014 (recurso 428/2013). La sentencia, referida a teleoperadores en una empresa de call center. La sentencia declara como abusiva la cláusula contractual en la que se impone con carácter obligatorio la recogida de los datos de correo electrónico y teléfono móvil con el fin de que la empresa los utilice para notificar cualquier comunicación referida a su relación laboral. La parte actora alegaba que la empresa demandada “desde hace más de un año está incorporando una cláusula en los contratos de trabajo nuevos que es abusiva pues se obliga al trabajador a disponer de medios propios (móvil e Internet) y a proporcionárselo a la empresa para que ésta le efectué cualquier comunicación referida a su relación laboral y a estar disponible para la empresa fuera de horas de trabajo, cuando la empresa tiene medios suficientes para notificar al trabajador cualquier decisión tanto en el centro de trabajo como en su domicilio”. Por su parte la empresa indicaba que respondía a la potestad de dirección de la empresa consagrado en el artículo 38 del Estatuto de los trabajadores. Atendiendo al uso que hace la empresa de la cláusula- comunicaciones vía SMS y vía correo electrónico de la puesta a disposición de anticipos a los trabajadores que pueden venir a recogerlos, es la única utilidad que le da la empresa. Los trabajadores son teleoperadores, y no pueden recibir llamadas durante la jornada, facilitando este sistema, la labor al trabajador que no tiene que llamar a la empresa para ver si se le han concedido o no los anticipos solicitados. En el hecho probado CUARTO se contiene: “Que la empresa demandada desde hace más de un año está incorporando una cláusula en los contratos de trabajo nuevos que dice: Ambas partes convienen expresamente que cualquier tipo de comunicación relativa a este contrato, a la relación laboral o al puesto de trabajo, podrá ser enviada al trabajador vía SMS o vía correo electrónico, mediante mensaje C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/17 de texto o documento adjunto al mismo, según los datos facilitados por el trabajador a efectos de contacto. Cualquier cambio o incidencia con respecto a los mismos, deberá ser comunicada a la empresa de forma fehaciente y a la mayor brevedad posible”. La sentencia analiza si dichos datos personales son necesarios para el mantenimiento de la relación contractual, en cuyo caso no sería preciso el consentimiento de los empleados, pero llega a la conclusión que en este caso no concurre acreditación alguna de la citada necesidad para el mantenimiento y cumplimiento de la relación contractual, por lo que para dicho tratamiento se precisa del consentimiento inequívoco de los afectados, declarando abusiva la cláusula.
- Añade que el 29/06/2015 numerosos trabajadores del centro de trabajo, han recibido a través de dicho correo electrónico un mensaje que dice: “Tu responsable de formación on-line en EULEN te ha registrado en el portal @prende. Puedes acceder al portal de formación con los siguientes datos…”nombre de usuario y contraseña” que se contiene en el cuerpo del correo. A partir de esa fecha “hemos recibido al menos 11 mensajes procedentes de E.E.E.@telefonica.com” con el objeto de que los empleados dedicados al servicio de vigilancia en hospitales realicen su formación on line. Aporta copias de los mensajes, que van desde 29/06/2015 a 3/09/
- Indican que no han dado el consentimiento para dicha finalidad, aunque algunos empleados estén cumplimentando acciones formativas en dicha plataforma. Añade que algunos empleados que determina nominalmente también han recibido llamadas telefónicas o SMS con objeto de que los trabajadores realicen la citada formación. Aportan copia de un fax de 25/08/2015 dirigido a la Directora de formación del Grupo EULEN en el que expone que en “diciembre 2014 solicitamos los cursos de actualización o especialización con la periodicidad establecida en el artículo 57, actualmente en vigor, en ausencia de Reglamento de la Ley 5/2014 de 4/04 de Seguridad Privada, no habiendo recibido noticias”. Si bien es cierto que con fecha 29/06/2015 numerosos trabajadores del centro de trabajo referido hemos recibido mediante correo electrónico el mensaje “Tu responsable de formación on line de EULEN te ha registrado en el portal @prende. Puedes acceder al portal de formación con los siguientes datos...” constando en cada correo su usuario y contraseña. Finalizan indicando que no han manifestado su consentimiento “en cuanto al procedimiento”, carecen de conocimientos y medios para recibir la formación on line y que el contenido ha de ser presencial según dictamina el Ministerio del Interior. Expresan que tras dicho envío, siguieron recibiendo correos electrónicos referidos a la formación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/17
- Además, denuncia la circunstancia de la inclusión del dato DNI de forma adicional al nombre del empleado que se expone en un tablón formando parte del cuadrante mensual de trabajo realizados por la empresa para el ejercicio de
- Añade que ello se produce pese a haber un acuerdo con la empresa de fecha 19/12/2014 para que dicho dato no figure en los mencionados cuadrantes. Aporta copia de algunos como el de junio
- Aporta además: Copia de los cuadrantes mensuales correspondientes a 2015 en los que figura, en algunos de ellos, el dato del DNI junto al nombre del trabajador. No es aportado el acuerdo de 19/12/
- SEGUNDO: Con fecha 25/04/2016, EULEN responde a la petición de información de la AEPD, indicando:
- Respecto del tratamiento de datos de carácter personal relativo a los números de móvil y direcciones de correo electrónico personales de los trabajadores: 1.
- La entidad señala que dichos datos se recaban al objeto de establecer una comunicación fluida y eficiente con los trabajadores añadiendo que dicha comunicación resulta imprescindible para el normal desarrollo de la relación laboral. En este sentido resalta que se trata de vigilantes de seguridad, por lo que la inmediatez en la respuesta ante cualquier incidente es esencial. 1.
- El contactar con el vigilante en el caso de que éste no se presente en su lugar de trabajo, pues en caso de ausencia, se ha de avisar a otro empleado. 1.
- Precisa que “la entrega de la información del número de móvil y correo electrónico es completamente voluntaria” y que no todos los trabajadores han aportado esos datos, disponiendo del número de móvil de un 18,39 % de sus trabajadores y de la dirección de correo electrónico de un 66,63%. Añade también que no le consta ningún ejercicio del derecho de oposición o cancelación al tratamiento de dichos datos. La consecuencia de no proporcionarlos es “que la empresa no podrá utilizar dichos medios para comunicarse con el trabajador”. 1.
- Aporta copia de “Convenio de Agrupación de empresas” de 2/01/2014 en el que se dispone que tiene por objeto la constitución de una Agrupación de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/17 empresas con el fin de gestionar de forma conjunta la formación de los trabajadores de conformidad con lo establecido en el artículo 16 del real Decreto 395/2007 de 23/03 y demás normativa de desarrollo por al que se regula la financiación de acciones de formación continua para empresas. En el contrato figuran entre otras empresas del Grupo, el INSTITUTO EULEN DE FORMACION SA, EULEN SEGURIDAD SA y EULEN SA (158 y ss.). 1.
- Acompañan en documento 4 un contrato de Servicios de apoyo a la gestión de 31/12/2008 entre EULEN SA y tras entidades del Grupo entre las que se encuentran la denunciada y el INSTITUTO EULEN DE FORMACION en la que se expone en el primer punto que “EULEN SA es la Sociedad cabecera del Grupo Eulen del que forman parte todas las Sociedades referidas, y “aglutina todos los departamentos de apoyo al negocio-back office- disponiendo al efecto de los medios humanos y materiales para el desarrollo de las funciones” que detallan, entre las que destacan entre otras: Recursos humanos o Servicios Comunes. Además, en el contrato se prevé el acceso a datos para la ejecución del contrato, detallándose los requerimientos legales para el acceso de EULEN como encargado de tratamiento a datos del resto de entidades (folio 165 y ss.). 1.
- Respecto a la recogida de los datos señalados, la entidad manifiesta que se recaban directamente de los trabajadores al tiempo de su incorporación a la empresa, momento en el que firman el documento denominado “DOCUMENTO COMPLEMENTARIO AL CONTRATO DE TRABAJO” y “FORMULARIO OPOSICIÓN/NEGATIVA AL TRATAMIENTO/CESIÓN DE DATOS PREVISTOS EN EL DOCUMENTO COMPLEMENTARIO AL CONTRATO DE TRABAJO “de los que adjuntan copia de modelos que no aparecen firmados o cumplimentados por persona alguna. En cuanto al contenido del “DOCUMENTO COMPLEMENTARIO”: En el apartado 2:“ A.A.A.”, se indica: “Le informamos de que sus datos serán incorporados a un fichero de datos personales existentes en la empresa y serán tratados con la finalidad de permitir el ejercicio de los derechos y el cumplimiento de las obligaciones derivadas de su relación labo ral”, indicando la sede ante la que ejercitar los derechos (folio 151). En el mismo apartado consta, entre otros: “Mediante este documento usted consiente”: - C/ Jorge Juan, 6 28001 – Madrid La cesión de los datos a las empresas “del GRUPO EULEN –dedicado a la prestación de servicios a empresas y entidades públicas y privadas para el cumplimiento de las finalidades incluidas en el presente documento y para poder desarrollar procedimientos de gestión y www.agpd.es sedeagpd.gob.es 5/17 administración comunes, pudiendo consultar las empresas en la página web” y, - “La cesión de sus datos personales a los clientes o futuros clientes para los que la Empresa está prestando o tenga intención de prestar un servicio en el marco del cual usted está desarrollando o podría desarrollar su actividad laboral, con la finalidad de acreditar la solvencia técnica y profesional del personal de la Empresa y el cumplimiento por parte de esta de las obligaciones que legal o contractualmente le correspondan”. Y además en el mismo punto 2 figura: “Se informa al interesado”, destacando entre otros el literal:” De conformidad con lo dispuesto en el artículo 15 del RD 1720/2007 y aun cuando los consentimientos solicitados guardan relación directa con su relación usted puede manifestar su negativa al tratamiento o cesión consentidos por medio del formulario que, junto a este documento, se pone a su disposición”. En el apartado 3 del documento: (aunque no pone número, precede al 4): titulado: “normas sobre comportamiento ambiental” consta entre otros: “Con el fin de contribuir a la conservación del medio ambiente el trabajador se compromete a facilitar a la empresa en cuanto sea requerido por esta, una dirección de correo electrónico valida donde poder recibir y consultar su nómina mensual, conociendo y aceptando el trabajador desde este momento que la entrega de la nómina a través de soporte electrónico supone el cumplimiento legalmente establecido de documentar el pago del salario por parte de la empresa. El trabajador autoriza expresamente a la Empresa para que la dirección de correo electrónico facilitada sea utilizada para recibir tanto la nómina como documentación de carácter informativo de la empresa derivada de la relación laboral”. En el apartado 4 del documento: titulado: “firma y consentimiento” con espacio para la firma del trabajador consta: “Mediante la firma electrónica y/o digital y/o digitalizada y/o biométrica, la Empresa y el Trabajador están prestando su consentimiento a los documentos denominados: - Contrato de trabajo-, Anexo al contrato de trabajo - y Documento complementario al contrato de trabajo” En cuanto al contenido del “FORMULARIO OPOSICIÓN”: -Según afirma la denunciada, el trabajador puede manifestar su oposición/negativa a los tratamientos y cesiones previstos en el documento “DOCUMENTO COMPLEMENTARIO AL CONTRATO DE TRABAJO” pues figura C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/17 que se le entrega copia con el mismo. 1.
- . También existe un contrato del que adjuntan copia, suscrito el 19/04/2010 entre EULEN SEGURIDAD, SA e INSTITUTO EULEN DE FORMACION, SA en el que figura “Ambas partes son conscientes de que la ejecución de las prestaciones objeto de los contratos celebrados o que puedan celebrarse entre ellas pueden suponer el acceso por parte del Instituto EULEN de FORMACION SA a información y/o datos de carácter personal titularidad de EULEN SEGURIDAD”, y en la cláusula primera se indica “Los datos incluidos en los ficheros de EULEN SEGURIDAD SA son propiedad exclusiva de esta al igual que cualquier tratamiento que por cuenta de esta realice INSTITUTO EULEN DE FORMACION SA” y en la cuarta se indica INSTITUTO EULEN DE FORMACION SA en relación con los datos se obliga a: “Tratarlos exclusivamente para el cumplimiento de las prestaciones contratadas y de acuerdo con las instrucciones que en cada momento reciba de EULEN SEGURIDAD SA”, se establecen también otras medidas contempladas en el artículo 12 de la LOPD referidas al encargado de tratamiento. Según declara la denunciada, este contrato es para impartir cursos de seguridad privada
(146)y se complementa con la cláusula informativa del DOCUMENTO COMPLEMENTARIO 2. Respecto de la inclusión del dato del DNI de forma adicional al nombre del empleado en los cuadrantes mensuales de trabajos: 2.1. La entidad manifiesta que la exposición del cuadrante cuenta con el consentimiento de los trabajadores y que su exhibición se realiza en el interior de dependencias reservadas al servicio de seguridad. Añade que el citado consentimiento se ha recabado mediante la firma por parte de los trabajadores de un documento en el que consta ya el dato de DNI menos la letra cumplimentada. Aporta copia de un escrito de 27/01/2012 con la firma de los empleados y un DNI pre cumplimentado, excepto la letra final, en el mismo se indica “A partir de 1/02/2012 de conformidad con la normativa vigente, se expondrá el calendario laboral en el HG Carlos Haya, por tal motivo los vigilantes abajo firmantes, manifiestan su conformidad con tal exposición”. 2.2. El cuadrante se realiza para que cada trabajador sepa el turno que tiene que realizar, de hecho a cada trabajador se le entrega su cuadrante individualizado, publicándose para el general para conocimiento de los trabajadores y de la representación legal de los trabajadores. Manifiesta que ante las quejas producidas, se ha quitado el identificativo del citado cuadrante. TERCERO: Con fecha 12/09/2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a EULEN SEGURIDAD SA por una infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- b)C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/17 de dicha norma. CUARTO: Notificado el acuerdo de inicio, la denunciada obtuvo el 21/09/2016 copia del expediente y con fecha 13/10/2016 manifiesta: 1) La exposición de dichos cuadrantes en los centros con la constancia del DNI no está acreditada, estando además amparada con el consentimiento expreso y escrito de los trabajadores, según el documento de folios 173 y 174. Desarrolla el argumento referido a este aspecto, si bien no se ha abierto el presente procedimiento por la exposición o cesión de datos obrantes en los cuadrantes de servicios. Escasa repercusión de los datos expuestos, pues el tablón en el que se exhiben se halla en el vestuario de los vigilantes, zona reservada y protegida. No obstante, se ha eliminado el dato del DNI de todos los cuadrantes. Aporta copia de cuadrantes de empleados desde mayo 2016, fecha en que recibió la petición de información de la AEPD, sin que figuren datos de DNI. Añade que no existe culpabilidad en esta infracción imputada, y no se obtuvo beneficio 2) Manifiesta que tampoco considera la recepción de los e mails como infracción, pues dichos datos de contacto sirven para convocarles a cursos de formación, siendo esta una obligación legal. El Reglamento de Seguridad Privada RD 2364/1994 de 9/12 que indica que las empresas de seguridad a través de centros autorizados, garantizaran la organización y asistencia de su personal a cursos, de conformidad con los artículos 57 y 58. En estos artículos se incluyen infracciones graves para empresas o personal por la utilización en el desempeño de funciones de seguridad privada de personas con antigüedad mínima de un año en la empresa que no haya realizado los cursos de actualización o especialización, no los haya superado o no los haya realizado con la periodicidad que reglamentariamente se determine. Las empresas de seguridad vienen obligadas a adoptar medidas para garantizar que los vigilantes acudan a los cursos de formación obligatorios y a extremar las precauciones para ello. Manifiestan que: “Habiendo entregado el trabajador el correo electrónico voluntariamente al incorporarse a la empresa, y habiendo sido informado de que sus datos van a ser empleados para el desarrollo de la relación laboral, la empresa puede usar este medio para convocar al trabajador a los cursos.” Manifiestan que: “Si el denunciante recibió un correo electrónico el 31/08 y otro el 3/09, no fue por molestar sino por agotar todas las posibilidades de que el denunciante realizara un curso que expiraba el 4/09-folios 34 a 38- y al que estaba convocado desde el 29/06-folio 33-. Como había desatendido todas las convocatorias anteriores, se apuró todas las posibilidades para que realizara el curso.” En los folios 151 a 154 figura el “Documento complementario al contrato de trabajo” que el trabajador firma junto con el contrato de trabajo al aportar sus datos a la empresa siendo informado del tratamiento con la finalidad de permitir el ejercicio de los derechos y el cumplimiento de las obligaciones derivados de su relación laboral, siendo esto aplicable recíprocamente, contemplándose la posibilidad del envío de la nómina. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/17 Ello supone que el trabajador ha consentido el uso de la dirección de correo electrónico facilitado para el envío de las convocatorias a unos cursos de formación a los que viene obligado a asistir de acuerdo con la normativa descrita. 3) Se disponía del consentimiento expreso de dichos trabajadores para uno y otro tratamiento. 4) No queda acreditado el hecho denunciado del uso de SMS para la convocatoria de cursos, que en cualquier caso estaría justificado. En todo caso está relacionado con la finalidad del cumplimiento de obligaciones derivados de la relación laboral- convocatoria a cursos de obligada impartición. El teléfono móvil de los trabajadores, cuando se dispone de el, solo se utiliza para contactar con ellos si no acuden a su puesto de trabajo o para llamarles para efectuar una sustitución cuando un compañero no acude. 5) Reiteran que la entrega de los datos de correo electrónico y teléfono móvil no es obligatoria Además, se facilita un documento de oposición al tratamiento de sus datos que se entrega al tiempo de la toma de datos junto con el contrato de trabajo. Ningún empleado ha ejercitado derecho de cancelación u oposición o ha revocado el consentimiento. 6) La sentencia aportada no es aplicable a este caso pues en aquella se obligaba a los empleados a dar el número de teléfono móvil y su dirección de correo electrónico pero en este caso los trabajadores voluntariamente lo entregan , consistiendo en que la empresa pueda usarlos con las finalidades de envío de nómina e información derivada de la relación laboral. Además, se facilita un formulario para oponerse a cualquiera de los tratamientos. Es decir no es una clausula obligatoria del contrato-es un documento aparte-, y además, se le da la oportunidad de negarse en el mismo acto. El caso del call center de la sentencia no es igual al de los empleados de seguridad pues estos trabajan en instalaciones de terceros y en ámbitos dispersos lo que hace más difícil la comunicación. El único uso del correo electrónico fue la de convocatoria a unos cursos que resultan obligados por la Ley de Seguridad Privada. La propia sentencia realiza la distinción entre recabar obligatoriamente en contrato una serie de datos como el correo electrónico y el móvil, que tuvo efectos en el contrato de trabajo y los datos proporcionados voluntariamente. En la misma sentencia se indica “Sin perjuicio de que el trabajador pueda proporcionar voluntariamente sus datos a la empresa de forma separada, pudiendo cancelarlos en cualquier momento, por lo que la empresa no puede imponer a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/17 los trabajadores, al firmar el contrato de trabajo, que le faciliten los referidos datos”. 7) Ausencia de culpabilidad, teniendo en cuenta que ya no se debe sancionar a título de simple inobservancia que se contenía en el anterior artículo 130 de la Ley 30/1992, pues se ha derogado por la Ley 40/2015 de régimen jurídico del sector público, artículo 28 en que las sanciones se impondrán por responsabilidad a título de dolo o culpa. 8) Solicita subsidiariamente que al no haber sido sancionada anteriormente y no existe culpa, se aplique el procedimiento de apercibimiento del artículo 45.6 de la LOPD. Enumera varios criterios que a su juicio concurren para aplicar el artículo 45.5 de la LOPD: 1. No ha sido sancionada previamente. No se ha ejercitado derecho de oposición o cancelación. 2. No existe intencionalidad, tendiendo a desarrollar su acción en el cumplimiento de las obligaciones impuestas por la normativa vigente en formación, teniendo los empleados plena información de las finalidades para las que iban a ser empleados. 3. No se obtuvieron beneficios ni se ha ocasionado perjuicio alguno. 4. Se tienen medios adecuados para la recogida de datos y ejercicio de derechos como se acredita con el documento complementario y el formulario de oposición. QUINTO: Con fecha 6/02/2017 se emitió la propuesta del literal: “Que por la Directora de la Agencia Española de Protección de Datos se declare el ARCHIVO de la infracción del artículo 6.1 de la LOPD imputada a EULEN SEGURIDAD S.A., tipificada como grave en el artículo 44.3.
- b)de la LOPD.” Frente a la propuesta no se recibieron alegaciones. HECHOS PROBADOS 1) Los denunciantes son D.D.D. y prestan sus servicios en los Servicios de vigilancia y seguridad en el Hospital Regional Universitario de Málaga, de la que la denunciada es adjudicataria desde 2009 (1,27). Los denunciantes manifiestan que la empresa, desde el año 2012 está recabando en el contrato laboral los números de teléfono móvil y direcciones de correo electrónicos personales de los trabajadores. 2) Denuncian los denunciantes que en cada una de sus direcciones de correos electrónicos proporcionadas, comenzaron a recibir mensajes dirigidos exclusivamente a ellos, procedentes del portal de formación contratado por la denunciada. En ellos se contiene el literal: “Tu responsable de formación on line te ha registrado en el portal @prende. Puedes acceder al portal de formación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/17 con los siguientes datos: nombre de usuario y contraseña
(27)que se le indicaba en el mismo cuerpo del correo. Se constata que figuran mensajes enviado por ejemplo, el 6/07/2015, a la dirección de uno de los denunciantes informando de la plataforma para acceder
(29)indicando “Este es tu plan de formación para esta convocatoria a curso de “Servicio de vigilancia en hospitales”. “Fecha de inicio 29/06/2015 fecha fin: 4/09/2015”. También se han enviado mensajes recordatorios en distintas fechas para que accedan y hagan el curso y la fecha en que finaliza el curso 5, 31/08/2015, 1 y 3/09/2015, según copias de correos aportadas (28, 30, 31). En el mensaje de 1/09/2015 además se lee “NO INICIADO” .En el mismo sentido constan correos enviados a los otros dos denunciantes, siendo el primero de 29/06/2015
(33)y el ultimo el 3/09/2015
(34), figurando “no iniciado”. Constatándose asimismo dicho tipo de envíos a un tercer denunciante
(39)el primero el día 27/07/2015, y el último el 1/09/2015 (42, 40), figurando en este el estado de “Iniciado”. La dirección desde la que se envían los mensajes es E.E.E.@telefonica.com y el título EULEN FORMACION E-LEARNING y se contiene un link para acceder a la plataforma pinchando en http://formacion.eulen.com. 3) Los denunciantes aportan copia de un fax dirigido a FORMACION del Grupo EULEN enviado el 25/08/2015 iniciando la exposición con “En diciembre 2014 solicitamos los cursos de actualización o especialización con la periodicidad establecida en el artículo 57”, del entonces en vigor RD 2364/1994 de 9/12, ante la ausencia del desarrollo que regula la Ley 5/2014 de 4/04 de Seguridad Privada (44 a 46). Exponen la recepción de los correos electrónicos mencionados en el punto anterior y su manifestación de que no han prestado el consentimiento en cuanto al procedimiento de la formación on line, pues el contenido ha de ser presencial y/o teórico practico. 4) La denunciada aporta un modelo standard denominado documento complementario al contrato de trabajo (144, 151) cláusula 2, titulada: “Confidencialidad y protección de datos personales”, consta: “Mediante este documento usted consiente: “La cesión de sus datos a las empresas “del GRUPO EULEN –dedicado a la prestación de servicios a empresas y entidades públicas y privadas para el cumplimiento de las finalidades incluidas en el presente documento y para poder desarrollar procedimientos de gestión y administración comunes, pudiendo consultar las empresas en la página web”. En otro párrafo se contempla que “aun cuando los consentimientos solicitados guardan relación directa con su relación , usted puede manifestar su negativa la tratamiento o cesión consentidos por medio del formulario que, junto a este documento se pone a su disposición” En el mismo documento, en el apartado NORMAS DE COMPORTAMIENTO AMBIENTAL, que antecede al 4, figura un apartado que indica: ”Con el fin de contribuir a la conservación del medio ambiente, el trabajador se compromete a facilitar a la empresa, en cuanto sea requerido por esta, una dirección de correo electrónico válida donde poder recibir y consultar su nómina mensual, conociendo y aceptando el trabajador desde este momento que la entrega de la nómina a través del soporte electrónico supone el cumplimiento legalmente establecido de documentar el pago de salario por parte de la empresa. El C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/17 trabajador autoriza expresamente a la Empresa para que la dirección de correo electrónico facilitada sea utilizada para recibir tanto la nómina como documentación de carácter informativo de la Empresa, derivada de la relación laboral.” (151, 152). Este documento complementario lleva al final el pie de firma del trabajador, indicándose que “Mediante la firma electrónico y/digital o digitalizada y/o biométrica, la empresa y el trabajador están prestando su consentimiento a los documentos denominados. Contrato de trabajo, Anexo al contrato de trabajo y documento complementario al contrato de trabajo entre la empresa y el trabajador, y lo firman…”
(152). El formulario de oposición al tratamiento se refiere a todos los tratamientos contenidos en el citado documento complementario.
(156)5) Según manifestó la denunciada, dispone de la dirección de correo electrónico del 66% del total de sus empleados, y lo usa para el envío de la nómina y convocar a los interesados a los cursos de formación. (145, 147). 6) Manifiesta la denunciada que las direcciones de correos electrónicos que recibieron los mensajes del INSTITUTO EULEN DE FORMACION SA son producto de la suscripción con esta entidad de un contrato de encargo de tratamiento, aportando al efecto copia del mismo de 19/04/2010 en el que se contempla el tratamiento de datos por el INSTITUTO de datos titularidad de la denunciada “para el cumplimiento de las prestaciones contratadas”
(162). También acompaña la denunciada un Convenio de Agrupación de empresas en el que figura el INSTITUTO y la denunciada entre otras del mismo grupo empresarial, con el fin de gestionar de forma conjunta la formación de los trabajadores, de conformidad con la normativa que desarrolla la financiación de las acciones de Formación Continua en las empresas.
(159). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II La STC 292/2000 señala que “... el contenido del derecho fundamental de protección de datos consiste en un poder de disposición y control sobre los datos personales que faculta a la persona para decidir cuáles de sus datos proporciona a un tercero (...) estos poderes de disposición y control sobre los datos personales, que constituyen parte del derecho fundamental a la protección de datos se concreta jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular”. En este sentido, la Sentencia del Tribunal Constitucional 292/2000, de 30/11, que delimita el contenido esencial del derecho fundamental a la protección de los datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/17 personales, se ha pronunciado sobre la vinculación entre el consentimiento y la finalidad para el tratamiento de los datos personales, en los siguientes términos: “ … De otro lado, es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de estos, pues solo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos personales. Para lo que no basta que conozca que tal cesión es posible según la disposición que ha creado o modificado el fichero, sino también las circunstancias de cada cesión concreta. Pues en otro caso sería fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos. De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (Art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia.” En el presente supuesto no se va a analizar si las clausulas anexas al contrato son o no abusivas como hizo el Tribunal sentenciador de la sentencia que aportan los denunciantes, pero si conviene diferenciar los supuestos. Así, se aprecia: 1) En el supuesto denunciado, la dirección de correo electrónico no se ha utilizado para cualquier comunicación derivada de la relación laboral sino para el aspecto de la formación de empleados, y para envío de la nómina. En la cláusula informativa “normas de comportamiento ambiental” del contrato se incidía en el uso de la dirección de correo electrónico para recibir y consultar la nómina mensual, sirviendo según se indica para documentar el pago de salario por parte de la empresa, añadiéndose que será utilizada también para recibir “documentación de carácter informativo de la Empresa derivada de la relación laboral”. En otro punto informativo de la cláusula, el 2, se mencionaba sin relación a la dirección de correo electrónico, la cesión de datos a las empresas del GRUPO EULEN dedicado a la prestación de servicios para “poder desarrollar procedimientos de gestión y administración comunes” En el mismo contrato, como documento anexo se informaba de la posibilidad de oponerse a dicho tratamiento. 2) Según declaran los denunciantes, “A partir del año 2012 hasta la actual fecha, la empresa ha requerido a los trabajadores faciliten una dirección de correo electrónico personal con el objeto de enviarles el recibo de la nómina” indicando los denunciantes que no han dado el consentimiento inequívoco, pero ninguno consta que ha hecho uso del derecho de oposición pese al tiempo transcurrido. Por otro lado, en cuanto a la recepción de los mensajes de los cursos de formación, los denunciantes tampoco han ejercitado derecho de oposición, y en el fax remitido a la denunciada, solo se mostraban disconformes no con la recepción de los correos sino con el procedimiento on line de realización de la formación. 3) Respecto a los cuadrantes de servicio, con indicación del DNI, se hallaban según la denunciada en un sitio de acceso reservado, y los denunciantes no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/17 acreditan una prueba fáctica en su denuncia que refleje fehacientemente el lugar en el que estaban expuestos y si estaban con el DNI y la fecha en que lo estaban o hasta cuando estuvieron en su caso. 4) En cuanto a la materia sobre la que reciben los correos, la formación, se debe tener en cuenta que de acuerdo con la Ley 5/2014 de 4/04 de Seguridad Privada, los vigilantes de seguridad, deben efectuar cursos periódicos de formación, deduciéndose del artículo 35.
- d)que su control y realización corresponde a la propia empresa estableciendo sanciones al personal 58.2.
- i)ante “La negativa a realizar los cursos de formación permanente a los que vienen obligados”. Por otro lado, el artículo 57 del reglamento de la norma señalada, prevé que “ las empresas de seguridad, a través de los centros de formación autorizados, garantizarán la organización y asistencia de su personal de seguridad privada a cursos, adaptados a las distintas modalidades de personal, de actualización en las materias que hayan experimentado modificación o evolución sustancial, o en aquellas que resulte conveniente una mayor especialización”, detallando en su párrafo 2 que cada vigilante deberá cursar al menos uno por año. Se puede deducir que la prestación de la formación según las normas señaladas se constituyen en una parte integrante e importante de la relación laboral y su continuidad. 5) La sentencia aportada por los denunciantes, Sala de lo Social de la Audiencia Nacional, recurso 428/2013, de 28/01/2014, indica en el objeto del litigio: ”La cuestión que se debate en las presentes actuaciones se reduce a determinar la validez de una cláusula/tipo que la empresa demandada -UNÍSONOincluye en los contratos de trabajo y que, con ligeras variantes introducidas en el tiempo, refiere -última versión- que las «partes convienen expresamente que cualquier tipo de comunicación relativa a este contrato, a la relación laboral o al puesto de trabajo, podrá ser enviada al trabajador vía SMS o vía correo electrónico ... según los datos facilitados por el trabajador a efectos de contacto» y que «cualquier cambio o incidencia con respecto a los mismos, deberá ser comunicada a la empresa de forma fehaciente e inmediata». Destaca el análisis que se produce en el FUNDAMENTO DE DERECHO TERCERO PUNTO 3. “Inexistencia del exigido consentimiento.”- Tampoco podemos aceptar el distorsionado planteamiento que de la cuestión litigiosa hace el recurso, cuando argumenta que a nadie se le impone ni la adquisición de los instrumentos para proporcionar los datos en cuestión [teléfono móvil; ordenador personal] ni la obligada aportación de los datos [número de teléfono y cuenta de correo]; y que el clausulado evidencia la voluntariedad de su aportación. Este Tribunal en absoluto niega que voluntariamente puedan ponerse aquellos datos a disposición de la empresa, pues ello es algo incuestionable; es más, incluso pudiera resultar deseable, dado los actuales tiempos de progresiva pujanza telemática en todos los ámbitos. A lo que exclusivamente nos oponemos es que en el contrato de trabajo se haga constar -como específica cláusula/tipo- que el trabajador presta su «voluntario» consentimiento a aportar los referidos datos personales y a que la empresa los utilice en los términos que el contrato relata, siendo así que el trabajador es la parte más débil del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/17 contrato y ha de excluirse la posibilidad de que esa debilidad contractual pueda viciar su consentimiento a una previsión negocial referida a un derecho fundamental, y que dadas las circunstancias -se trata del momento de acceso a un bien escaso como es el empleo- bien puede entenderse que el consentimiento sobre tal extremo no es por completo libre y voluntario [sobre tal extremo, aunque referido a cláusulas de temporalidad, SSTS 20/01/98 -recurso 317/97 -; 30/03/99 -recurso 2815/98 -; 29/05/00 -recurso 1840/99 -; y 18/07/07 - recurso 3685/05 -]; de forma que la ausencia de la menor garantía en orden al consentimiento que requiere el art. 6.1 LOPD, determinó precisamente que la sentencia recurrida -y ahora esta Sala- consideren que tal cláusula es nula por atentar contra un derecho fundamental, y que debe excluirse de los contratos de trabajo. En el presente supuesto, no se obliga a proporcionar dichos datos, existiendo la posibilidad de oposición al mismo y así se informa en la cláusula contractual, si bien desde el año 2012 se ha estado usando dicho dato para envío de nóminas. 6) La denunciada tenía un contrato de encargado de tratamiento que posibilitaba la realización de una obligación legal de la empresa denunciada a través de la prestación del servicio de formación por parte de una entidad de su Grupo empresarial. Esta prestación que se decide realizar on line, supone el envío de los correos electrónicos denunciados. En ningún caso dicho contrato puede catalogarse de cesión de datos sino de un acceso a los mismos para la prestación de un servicio al que la denunciada está obligada, facilitando la labor de los empleados. III Se imputa a la denunciada la infracción del artículo 6.1 de la LOPD que señala: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6 , de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado.” La LOPD define en su artículo 3: Tratamiento de datos: “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/17 cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.”, y Responsable del fichero o tratamiento: “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. La no necesidad del consentimiento para el tratamiento de los datos necesarios para articular la relación laboral, deriva de que la formalización del contrato de trabajo implica un consentimiento genérico del mismo por el trabajador respecto de sus datos personales necesarios para el desenvolvimiento de dicha relación laboral, debiendo respetarse en la recogida de los mismos los principios que informan la protección de datos, entre otros el recogido en el artículo 4.1 de la LOPD que señala: “ Los datos de carácter personal sólo se podrán recoger para su tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan recogido.” Por ello, cualquier recogida y tratamiento de datos de los trabajadores que exceda de los datos necesarios para la creación y mantenimiento de la relación contractual, requerirá el consentimiento del trabajador afectado. Sin perjuicio de lo señalado, el empresario antes de la recogida de los datos deberá dar cumplimiento a lo señalado en el artículo 5 de la LOPD respecto del cumplimiento del deber de información, también denominado principio de transparencia en el tratamiento de datos, que constituye uno de los pilares esenciales del sistema establecido. De este modo, para que sea posible el tratamiento de los datos de carácter personal, con independencia de que sea preciso el consentimiento del afectado o de que los datos procedan de aquél, será preciso que el afectado sea adecuadamente informado, en los términos establecidos por el artículo 5 de la LOPD. La LOPD no exige una forma determinada de llevar a cabo el deber de información que impone, admitiéndose en este caso el documento complementario que como modelo aporta la denunciada, junto a la manifestación de los denunciantes que incide a que desde 2012 se está recogiendo el dato de la dirección de correo electrónico que se ha venido usando para el envío de las nóminas, y desde junio 2015 para los correos referidos a los cursos de formación. Junto a ello, se refleja por los denunciantes en el comunicado enviado a la empresa en fax el 25/08/2015, que no se muestran de acuerdo con el procedimiento instaurado para realizar los cursos de formación a través del correo electrónico. El artículo 6.1 menciona datos de carácter personal que se recojan, sin precisar a qué tipo de datos se refiere o cuales son los aptos para ser recogidos en una relación laboral. En este caso concreto, se trata de cuestionar si la dirección de correo electrónico es necesaria para el cumplimiento o mantenimiento de la relación laboral, considerando que se ha empleado para enviar correos electrónicos con contenido de formación profesional por parte de una empresa que no es la denunciada, sino el “responsable de formación on line en EULEN”, según la denunciada, el INSTITUTO EULEN DE FORMACIÓN
(146). Previamente a ello, se ha de considerar que los denunciantes y otros empleados han venido dando sus datos de direcciones de correos electrónicos desde el año 2012, aquietando su conducta al uso, previsiblemente, recibiendo las nóminas desde entonces cada mes por dicho medio. Desde entonces, no consta ejercicio alguno de oposición a dicho tratamiento. Además, junto al documento complementario al contrato, se informaba de la posibilidad de ejercitar los derechos de oposición a dicha clase de tratamiento. A partir de junio 2015 han comenzado a recibir en las mismas direcciones las acciones formativas que también se denuncia por no contar con el consentimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/17 para dicho fin. El contrato de trabajo es un medio adecuado para informar al trabajador respecto del tratamiento que se realizará respecto de sus datos. Por ello, el contrato de trabajo constituye un medio adecuado para ofrecer información sobre los tratamientos directamente relacionados con la prestación laboral, no así para otros tratamientos. La implementación de la dirección electrónica para la realización de cursos de formación on line a través de las direcciones de correo electrónico particulares de los empleados no es en este caso una finalidad ajena a la relación laboral ni puede tildarse de desproporcionada. Además, en este caso estaba debida y adecuadamente informada en la cláusula que acompaña a los contratos, suponiendo un uso adicional de dicha dirección a la del envió de nóminas. Por otro lado, el envío de los correos a la dirección electrónica se lleva a cabo por la propia denunciada, a través de un encargado de tratamiento. No se aprecia vulneración en el tratamiento de la recepción a sus direcciones de correos electrónicos debidamente informada, con posibilidad de solicitar la revocación/oposición de acuerdo con los motivos legalmente establecidos, atendiendo a que la denunciada tiene obligaciones legales en cuanto a la formación de sus empleados, acciones cuya realización corresponde a la denunciada garantizar, y eso es lo que realizó con dicho dato y los envíos de correos para la realización de los cursos de formación. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: Declarar el ARCHIVO de las actuaciones referentes a la infracción del artículo 6.1 imputada a EULEN SEGURIDAD S.A., tipificada como grave en el artículo 44.3.b) de la LOPD. SEGUNDO: NOTIFICAR la presente resolución a F.F.F.. EULEN SEGURIDAD S.A.., y a TERCERO: De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/17 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26/11, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es