1/5 Expediente N.º: EXP202304100 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 20 de febrero de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra LEE HECHT HARRISON, S.L. con NIF B
- Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que fue contactado por una reclutadora de LEE HECHT HARRISON, S.L., entidad reclamada, a través de la red social LINKEDIN solicitándole la remisión de su Curriculum Vitae para presentarlo a una empresa que pudiera estar interesada. Señala que remitió el mismo, si bien en ningún momento fue informado de ningún aspecto sobre el tratamiento de sus datos. Manifiesta que, tras transcurrir un tiempo sin recibir información sobre el resultado del supuesto proceso de contratación, intentó contactar con la persona que le solicitó sus datos, sin éxito, por lo que, tras realizar una reseña negativa de LEE HECHT HARRISON, S.L. a través de GOOGLE, se le instó a contactar mediante correo electrónico con la entidad reclamada, llevando a cabo dicha actuación, recibiendo contestación de la reclutadora señalando que había eliminado su Curriculum Vitae y que el mismo no llegó a ser entregado a la empresa a la que debía presentarse. La parte reclamante se puso en contacto con el departamento de protección de datos de la entidad reclamada, quienes le dijeron que no constaba incorporado a la base de datos de LEE HECHT HARRISON, S.L. el Curriculum Vitae de la parte reclamante y le indicaron que no les constaba que se hubiera compartido dicho documento con ninguna empresa. Entiende la parte reclamante que fue contactado para obtener de forma inadecuada sus datos profesionales y no fue debidamente informado del tratamiento de sus datos. Aporta copia de mensajes intercambiados con la reclutadora de LEE HECHT HARRISON, S.L., con su departamento de protección de datos, de la reseña publicada en Google y otras reseñas de otros usuarios, donde se pone de manifiesto las prácticas llevadas a cabo por la parte reclamada para obtener perfiles y datos de usuarios de Linkedin. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a LEE HECHT HARRISON, S.L., para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 03/04/2023 como consta en el acuse de recibo que obra en el expediente. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se envió una copia nuevamente, que fue notificada fehacientemente en fecha 18 de mayo de
- No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 20 de mayo de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad LEE HECHT HARRISON, S.L. es una mediana empresa constituida en el año 2000, y con un volumen de negocios de (…) euros en el año
- QUINTO: Con fecha 6 de febrero de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo 13 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), tipificada en el artículo 83.5 del RGPD. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba que: - LEE HECHT HARRISON (LHH) actividad se divide en cuatro líneas de negocio: LHH Career Transition & Mobility, LHH Leadership Development, LHH Advisory y LHH Recruitment Solutions. - Las tres primeras líneas de negocio desempeñan su actividad de manera autónoma a través de la mercantil LEE HECHT HARRISON, S.L. y la cuarta y última de ellas, LHH RECRUIMENT SOLUTIONS (LHH R.S), lleva a cabo su actividad a través de la mercantil ATLAS SERVICIOS EMPRESARIALES, S.A.U. - En lo que al caso concreto se refiere, el contacto con la parte reclamante se llevó a cabo desde LHH.R.S., al ser este un contacto destinado a la búsqueda y selección de perfiles intermedios, siendo por ello que la mercantil que llevó a cabo la actividad fue ATLAS SERVICIOS EMPRESARIALES, S.A.U. y, en ningún caso, LEE HECHT HARRISON, S.L. - La consultora que contactó con la parte reclamante, formaba parte de la plantilla de ATLAS SERVICIOS EMPRESARIALES, S.A.U., las condiciones generales de contratación (en adelante CCGG) que se aplican para su actividad vienen firmadas y referenciadas por ATLAS SERVICIOS EMPRESARIALES, S.A.U y las facturas de la actividad de LHH.R.S, se emiten por ATLAS SERVICIOS EMPRESARIALES, S.A.U., así como el control, la gestión y dirección de esta especialidad se rige igualmente por la mercantil C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 ATLAS SERVICIOS EMPRESARIALES, S.A.U y como prueba de ello, adjunta contrato de trabajo de la consultora y CCGG del servicio. SÉPTIMO: Se acompaña como anexo relación de documentos obrantes en el procedimiento. OCTAVO: Con fecha 8 de enero de 2025 se formuló propuesta de resolución en la que se dio respuesta a su escrito de alegaciones al acuerdo de inicio del procedimiento sancionador, dándolas por estimadas, y proponiendo el archivo del expediente por considerar que la responsabilidad de la actividad de tratamiento objeto de la reclamación no corresponde a LEE HECHT HARRISON, S.L al no ser empleada de esta empresa la consultora que contactó y envío el correo electrónico objeto de la reclamación a la parte reclamante y a la que ésta aportó su CV. NOVENO: Notificada la propuesta de resolución el mismo 8 de enero de 2025 conforme a las normas establecidas en la LPACAP, y transcurrido el plazo concedido al efecto, la parte reclamada no ha presentado alegaciones. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: La parte reclamante ha sido contactada a través de la red social LinkedIn, el 3 de enero de 2023, por B.B.B., y posteriormente, el 5 de enero de 2023, por el correo electrónico ***EMAIL.1, cuyo pie de firma es Consultant, Sales Industry LHH Recruitment Solutions, solicitándole la remisión de su Curriculum Vitae con la finalidad de gestionarle entrevistas con empresas interesadas que ofertasen puestos de trabajo. En este correo, no se indica quienes son los destinatarios de la información, los fines del tratamiento a que se destinan los datos personales ni la base jurídica del tratamiento. SEGUNDO: La parte reclamante envía su CV el 9 de enero y, transcurrido más de un mes sin recibir ninguna notificación del proceso de contratación ni de LHH Recruitment Solutions ni de la empresa que ofertaba el puesto de trabajo, el 15 de febrero de 2023 envía otro correo a la consultora en la que solicita se le confirme que sus datos han sido borrados de sus bases de datos conforme a la ley. En esa misma fecha, recibe contestación en la que se le informa que su CV ha sido borrado de la base de datos y que nunca fue reenviado a una de las empresas en la que la parte reclamante estaba interesada. TERCERO: La parte reclamante recibe correo electrónico de protección. datos@adecco.com, el 15 de febrero de 2023, en el que se le informa que no consta incorporado a la base de datos del Grupo Adecco, su Curriculum Vitae y le indican que no les consta que se hubiera compartido dicho documento con ninguna empresa. CUARTO: La parte reclamante interpone reclamación ante esta Agencia contra la entidad LEE HECHT HARRISON, S.L. por considerar que ha recogido de forma inadecuada sus datos profesionales y no fue debidamente informado sobre la finalidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 del tratamiento que se va a dar a los datos y sin dar opción al ejercicio de derechos recogidos en el RGPD. QUINTO: Con fecha 6 de febrero de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad LEE HECHT HARRISON, S.L., por la presunta infracción del artículo 13 del RGPD. SEXTO: LEE HECHT HARRISON, S.L., en su escrito de alegaciones, aporta el contrato laboral de B.B.B., suscrito por ATLAS SERVICIOS EMPRESARIALES, S.A.U., del Grupo Adecco, y a la que pertenece la línea de negocio que se desarrolla bajo la marca “LHH Recruitment Solutions” y cuya actividad es la búsqueda y selección de perfiles intermedios. También adjunta las Condiciones Generales del contrato que se vinculan a la marca “LHH Recruitment Solutions”, en las que se dice: “LHH Recruitment Solutions es la marca comercial bajo la que opera la entidad jurídica de los servicios ATLAS SERVICIOS EMPRESARIALES, S.A.U., con CIF…” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Archivo del expediente El artículo 4.7 del RGPD define al «responsable del tratamiento» o «responsable» como la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros. Tras un estudio exhaustivo de los documentos obrantes en este expediente, procedería el archivo del mismo conforme a los principios básicos del derecho sancionador recogidos en la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, que en su artículo 28 “Responsabilidad” establece:
- Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa. (…/…). En el presente caso, la responsabilidad de la actividad de tratamiento objeto de la reclamación no corresponde a la parte reclamada, al quedar acreditado en su contrato de trabajo que la consultora que contactó con la parte reclamante y recabó sus datos personales no trabajaba como empleada de LEE HECHT HARRISON, S.L, por lo que, aun cuando los hechos fueran constitutivos de infracción, no procede dictar resolución sancionadora contra esta empresa. Por lo tanto, de acuerdo con la legislación aplicable, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a LEE HECHT HARRISON, S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-101224 Olga Pérez Sanjuán La Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2 LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es