← España

PS-00509-2017

1/9 Procedimiento Nº PS/00509/2017 RESOLUCIÓN: R/00700/2018 En el procedimiento sancionador PS/00509/2017, instruido por la Agencia Española de Protección de Datos a la entidad GRUPO KONECTA CENTROS ESPECIALES DE EMPLEO, S.L., vista la denuncia presentada por A.A.A., y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 17/07/2017 tuvo entrada denuncia de Dña. A.A.A., (en lo sucesivo la denunciante) contra GRUPO KONECTA CENTROS ESPECIALES DE EMPLEO, S.L. (en lo sucesivo la denunciada) por tener almacenada información y datos personales de sus empleados en un equipo informático sin medidas de seguridad, ya que sus archivos son accesibles por cualquier empleado. Acompaña un escrito firmado por cuatro empleados de KONECTA CEE (Centro Especial de empleo) en el que se dirigen al Comité de empresa poniendo en su conocimiento que sus datos han sido de conocimiento público del resto de trabajadores invitando a presentar una denuncia a la Inspección de Trabajo. Acompaña escrito de denuncia de 22/03/2017 contra la empresa de telemarketing GRUPO KONECTA CEE, dirigido a la Inspección de Trabajo. En la denuncia indica que se trata de la afectación de todos los trabajadores que participaron en la campaña de BANCO POPULAR, que fue “de octubre 2011 hasta la fecha de hoy”. Destaca: -En los equipos, “Cualquier trabajador puede ver y tiene acceso a todos y cada uno de los datos personales, bajas y altas médicas, justificantes médicos, cuentas bancarias, DNI etc.” -Precisa y detalla la ruta de acceso a las carpetas que contienen los datos y que lleva en el iter “Carpeta B.B.B.”. -Escrito respuesta de la Inspección de Trabajo a la denunciante de 31/05/2017 en que se informa que “por la empresa denunciada se ha comunicado con fecha 23/05/2017 a la Inspección de trabajo y Seguridad Social actuante, que ya se ha limitado el acceso a los datos que se refieren en su denuncia sólo a personal autorizado, e incluso que en todo caso para poder acceder a los datos personales será necesaria una autorización expresa en cada caso”. -Acompaña impresión de pantallas en las que en la ruta de un equipo informático se accede a distintas carpetas de “B.B.B. KONECTA” tituladas “Excedencia, “justificantes”, “Curriculum, IRPF, Certificados minusvalía” etc., y que contienen documentos pdf o JPEG. También aparecen imprimidos algunos de dichos documentos como, por citar solo una muestra: 1) Copia de suscripción de cuenta bancaria de un empleado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 2) Partes de alta de IT contingencias comunes, otro de accidente no laboral que consta entre otros de número de tarjeta sanitaria, de afiliación, DNI, dirección, teléfono, duración del proceso. 3) Copias de libro de familia ejemplar para la empresa de una empleada de KONECTA. 4) Copia de certificado de prestación de trabajo a una empelado, figurando categoría, DNI, fecha de inicio y jornada. 5) Copia de cuenta bancaria. 6) Recibos de salarios, copia de contrato de trabajo. 7) Comunicado de falta de puntualidad a una empleada, fecha 24/09/2015, fechas del retraso, nombres y apellidos sanción leve. 8) Respuesta de 3/10/2016 de Solicitud de vacaciones por una empleada junto a copia de su petición. 9) Contrato de alquiler. 10) Copias DNI. 11) Resoluciones de la Consejería de Políticas Sociales y de Familia de la Comunidad de Madrid en las que reconocen el grado de discapacidad de un empleado y tarjeta acreditativa del grado de discapacidad de otro. Notificación sobre grado de minusvalía. SEGUNDO: Consultada la aplicación de la A.E.P.D. que gestiona los antecedentes de infracciones y apercibimientos, por el NIF de la denunciada no figuran precedentes. TERCERO: Con fecha 4/12/2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a GRUPO KONECTA CENTROS ESPECIALES DE EMPLEO, S.L., por presunta infracción del artículo 9.1 de la LOPD, tipificada como grave en el artículo 44.3.

  1. h)de dicha norma. En el acuerdo de inicio se concretaba que a los efectos de lo dispuesto en el artículo 64.2.
  2. b)de la Ley 39/2015 de 1/10 y artículo 127 letra
  3. b)del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD); la sanción que pudiera corresponder sería de 15.000 euros. CUARTO: Notificado el acuerdo de inicio, se remitió copia del expediente por petición de la denunciada, y el 10/01/2018 se reciben alegaciones en las que indican:
  4. a)Es una entidad que en el caso de la denuncia, prestaba servicios de atención al cliente a Banco Popular hasta el pasado mes de noviembre en las instalaciones de ésta última sitas en Getafe. Para la ejecución de los servicios, se utilizaba plataforma informática propia del Banco Popular, y con un equipo cuyo responsable era B.B.B., que como supervisora del servicio, era la responsable de tramitar y gestionar cualquier incidencia o petición del personal asignado al servicio con el Departamento de RRHH de la compañía. Este era el único motivo por el cual esta persona tenía acceso a documentación confidencial de los trabajadores de este servicio. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9
  5. b)KONECTA nunca ha sido apercibida o sancionada con anterioridad y no se trata de una infracción calificada como muy grave, solicitando que se aplique el procedimiento de apercibimiento, pues además reconoce los hechos y los subsanó. QUINTO: Con fecha 19/03/2018 se emite propuesta de resolución del literal: “Que por la Directora de la Agencia Española de Protección de Datos se sancione a GRUPO KONECTA CENTROS ESPECIALES DE EMPLEO, S.L. con NIF *****3422, con multa de 15.000 € por la infracción del artículo 9.1 de la LOPD, tipificada como grave en el artículo 44.3.
  6. h)de dicha norma.” Con fecha 5/04/2018 se reciben alegaciones en las que reitera que adoptaron las medidas de control necesarias para evitar que los hechos se pudieran volver a repetir y que se debería de aplicar el procedimiento de apercibimiento pues no se causó daño alguno ni perjuicio a los afectados. Subsidiariamente solicita que la cuantía se deje en 1.000 €. HECHOS PROBADOS 1) GRUPO KONECTA CENTROS ESPECIALES DE EMPLEO, S.L. tiene como objeto social según el Registro Mercantil, la prestación de servicios de asistencia telefónica y de administración de recursos humanos. En el caso de la denuncia, prestaba servicios de atención al cliente, Banco Popular, en las instalaciones de ésta última, sitas en Getafe. Para la ejecución de los servicios, se utilizaba una plataforma informática propia del Banco Popular, y con un equipo cuyo responsable por parte de la denunciada era B.B.B., encargada de tramitar y gestionar cualquier incidencia o petición del personal asignado al servicio con el Departamento de RRHH de la compañía. La denuncia se origina por cuatro empleados que dirigieron una nota al Comité de Empresa de Conecta, manifestando que prestaron servicios en la campaña de Banco Popular y dejan constancia de que sus datos relacionados con cuestiones laborales, bancarios, partes de baja, número de tarjeta de la Seguridad Social, han sido de conocimiento público por parte del resto de los trabajadores, solicitando se dé cuenta a la Inspección de Trabajo. En la denuncia ante la Inspección de Trabajo consta que la gestión para Banco POPULAR comenzó en octubre 2011, y los hechos consisten en que cualquier trabajador puede ver, con acceso libre, todos y cada uno de los datos que figuran en un equipo informático dedicado a gestiones de personal, detallando la ruta de acceso. Se enumeran como documentos que se pueden visualizar, certificados de minusvalía o certificados de incapacidad entre otros. 2) Con fecha 31/05/2017, la Inspección Provincial de Trabajo y Seguridad Social de Madrid remitió a la denunciante escrito en el que le informa que por la empresa denunciada se ha comunicado con fecha 23/05/2017 a la Inspección de Trabajo que ya se ha limitado el acceso a los datos que se refieren en su denuncia solo a personal autorizado. 2) La denunciante aporta junto a su denuncia impresión de pantallas de los accesos en carpetas, en la ruta AREA DE HELP DESK, B.B.B. KONECTA, VARIOS B.B.B.; EXCEDENCIA. Figurando distintos archivos con documentos en los que ya se contienen datos de solicitudes. Se aprecian también en -carpeta “JUSTIFICANTES” se contienen otras carpetas de 2014 a 2016, carpeta “libro de familia” con archivos de Baja, alta referidas con nombre y apellido. En la carpeta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 JUSTIFICANTES 2016 altas, bajas con nombre y a apellidos, y fechas, algunos de diciembre 2016 -carpeta “CURRICULUM” y dentro RENTA, conteniéndose diversos currículos en documentos titulados con nombres y apellido. En la carpeta RENTA varios documentos titulados IRPF con nombre y apellidos, o subida IRPF. Carpeta EXCEDENCIA Carpeta Certificado minusvalías conteniendo documentos titulados “certificados de incapacidad” o de “discapacidad” figurando nombre y apellidos. Además, se accede a algunos documentos abriendo los archivos y figuran: -Copia de número de cuenta de una persona que figura en la copia del contrato con OPENBANK -Partes médicos de bajas o de altas de IT, por enfermedad común, con el periodo, y datos de tarjeta sanitaria, DNI dirección y teléfono. -Hojas de libros de familia con datos del matrimonio de titulares y los hijos, copia de libreta de cuenta bancaria con datos de titulares. -Recibos de salarios de empleados. -Escritos de amonestación por faltas de puntualidad, de dos empleados. Cuadro de horas medicas de empleados en 2015. -Solicitudes de empleados sobre reducción de jornada, cambio de permiso de lactancia por días naturales, permisos por mudanza y copias de contratos de arrendamientos. -Justificantes de asistencia sanitaria. -Copia de contrato de trabajo o de conversión en contrato indefinido.- Copias de notificaciones de resolución sobre grado de discapacidad con datos médicos diagnosticados durante el reconocimiento médico, y tarjeta acreditativa de discapacidad de la CCAA de Madrid. -Copias de DNIs. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  7. g)en relación con el artículo 36 de la LOPD. II El artículo 45.6 de la LOPD indica:” Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9
  8. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  9. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” En el presente supuesto, dada la variedad y amplitud de documentos, algunos de ellos con datos sobre discapacidad incluidos, el elevado número de datos referido a un amplio número de empleados y su libre acceso, no permiten atenerse al procedimiento de apercibimiento. III La infracción imputada a la denunciada es la del artículo 9.1 de la LOPD que indica: El responsable del fichero, y, en su caso, el encargado del tratamiento deberán adoptar las medidas de índole técnica y organizativas necesarias que garantice la seguridad de los datos de carácter personal y evite su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana del medio físico o natural”. Mientras que el 9.3 de la LOPD añade: “Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” Así, se han vulnerado concretamente del RLOPD; los siguientes artículos; 89.1 “Las funciones y obligaciones de cada uno de los usuarios o perfiles de usuarios con acceso a los datos de carácter personal y a los sistemas de información estarán claramente definidas y documentadas en el documento de seguridad. También se definirán las funciones de control o autorizaciones delegadas por el responsable del fichero o tratamiento.” 91 “1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, en este caso el RLOPD. En lo que respecta al concepto de fichero, el art. 3.
  10. b)de la LOPD los define como “todo conjunto organizado de datos de carácter personal, cualesquiera que fuera la forma o modalidad de su creación, almacenamiento, organización y acceso”. Por su parte, la letra
  11. c)del mismo artículo define tratamiento de datos como “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” El artículo 43.1 de la LOPD indica: “Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” El artículo 3.
  12. d)define: “Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” La denunciada es responsable del fichero y de la infracción cometida, quedando acreditada la comisión de la misma. IV La infracción del artículo 9.1 se halla tipificada como grave en el artículo 44.3.
  13. h)“Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen.” V A efectos de una evaluación de la cuantía de la sanción a imponer se reproducen el artículo 45.1.2, 4 y 5 de la LOPD, que señalan: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros.” “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  14. a)El carácter continuado de la infracción.
  15. b)El volumen de los tratamientos efectuados.
  16. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  17. d)El volumen de negocio o actividad del infractor. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9
  18. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  19. f)El grado de intencionalidad.
  20. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  21. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  22. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  23. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  24. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  25. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  26. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  27. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  28. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” De la consulta realizada en la web de AXESOR, que proporciona datos sobre empresas, se aprecia que la denunciada dispone de 61 empleados y es de tamaño medio. Según el REGISTRO MERCANTIL, su objeto social es la “prestación de servicios de asistencia telefónica y por cualquier otro medio, servicios de instalación, conservación y reparación de ordenadores, servicios de administración de recursos humanos”. Se deduce que la infracción pudo deberse a la deficiente configuración de accesos y seguridad de las carpetas en las que se almacenaban los documentos y podría deberse a la falta de diligencia de un empleado (artículo 45.4.
  29. f)aunque no se advierten controles o cautelas, si bien no buscando la obtención de beneficios (45.4 e), por lo que le resulta aplicable la reducción de grado previsto en el artículo 45.5.
  30. a)de la LOPD. Para graduar la sanción a imponer de acuerdo con los criterios que establece el art. 45.4 de la LOPD, se significan: - Aparecen documentos con datos personales de un número alto de empleados, de distinto y variado tipo, incluyéndose relacionados con la salud como grados de discapacidad que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 fueron expuestos al conocimiento de cualquier empleado que accedía, en una empresa en la que entre otras labores se dedica a la gestión de personal (45.4.
  31. c)- A la empresa denunciada no le figuran antecedentes de sanciones previas en la A.E.P.D. (45. 4.g). - En cuanto fue advertida de la situación, se corrigieron los hechos que hacían posible los accesos. (45.4.j). Se impone por ello, una sanción de 15.000 euros. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad GRUPO KONECTA CENTROS ESPECIALES DE EMPLEO, S.L. con NIF *****3422, una sanción de 15.000 euros por una infracción del artículo 9 de la LOPD de la LOPD, tipificada como grave en el artículo 44.3.
  32. h)de la LOPD, de conformidad con el artículo 45.5.a), y 45.4 c), g), y
  33. j)de la LOPD. SEGUNDO: NOTIFICAR la presente resolución a GRUPO KONECTA CENTROS ESPECIALES DE EMPLEO, S.L.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  34. b)de la ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29/07, en relación con el art. 62 de la Ley 58/2003, de 17/12, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.