← España

PS-00558-2013

1/14 Procedimiento Nº PS/00558/2013 RESOLUCIÓN: R/01208/2014 En el procedimiento sancionador PS/00558/2013, instruido por la Agencia Española de Protección de Datos a la entidad SOLUCIONES OPERATIVAS DE SEGURIDAD, S.L., vista la denuncia presentada por ante la misma por las personas referenciadas en los anexos que se acompañan, y en base a los siguientes, ANTECEDENTES PRIMERO: En fechas 04/04/2013, 09/04/2013 y 18/04/2013, se reciben en la Agencia Española de Protección de Datos escritos de los denunciantes 1, 2 y 3 (ver anexos 1, 2 y 3) en los se ponen de manifiesto los siguientes hechos: La empresa SOLUCIONES OPERATIVAS DE SEGURIDAD S.L. (en lo sucesivo SOLUCIONES OPERATIVAS DE SEGURIDAD) ha implantado un sistema de GPS en vehículos de la compañía sin informar previamente a sus trabajadores siendo además utilizados como control de la jornada laboral. La compañía manifiesta que se realizó un comunicado a los delegados de personal el mismo día de la instalación del GPS, no obstante, dos de los denunciantes son Secretarios Generales de la distintas Sección Sindicales y manifiestan que en ningún momento se notificó de la instalación de los aparatos GPS y que tuvieron conocimiento de los mismos cuando la empresa, junto con los delegados de personal, hicieron entrega de un escrito a cada uno de los denunciantes donde se le informa de los incumplimientos detectados en sus turnos de trabajo según los datos obtenidos a través del GPS instalado en sus vehículos de empresa y a través de los servicios de una Agencia de detectives contratada con objeto de verificar los incumplimientos detectados. Adjunto a la denuncia, se ha aportado copia de los escritos mencionados firmados por la empresa SOLUCIONES OPERATIVAS DE SEGURIDAD y los representantes sindicales, de fechas 19/02/2013 y 26/03/2013. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a SOLUCIONES OPERATIVAS DE SEGURIDAD, teniendo conocimiento de los siguientes extremos conforme al informe de actuaciones previas que se transcribe: “ACTUACIONES PREVIAS DE INSPECCIÓN Tal y como consta en la documentación remitida por SOLUCIONES OPERATIVAS DE SEGURIDAD S.L. con fecha de registro de entrada a esta Agencia 10 de febrero de 2013: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 1. SOLUCIONES OPERATIVAS DE SEGURIDAD S.L. manifiesta que ha procedido a la incorporación de dispositivos GPS en los vehículos propiedad de la empresa y que únicamente se utilizan para realizar el trabajo en la misma, considerando por tanto que con dicha instalación lo único que se realiza en un control legítimo por parte del empresario del trabajo realizado por sus empleados, no afectando a ningún derecho de los mismos, como así está reconocido en numerosas sentencias, siempre que dichos dispositivos se coloquen en vehículos propiedad de la empresa, como es el caso. 2. SOLUCIONES OPERATIVAS DE SEGURIDAD S.L. manifiesta que debido al gran número de trabajadores de la empresa, se procedió a dar cuenta de la instalación del dispositivo GPS en el vehículo de la empresa para el servicio de Parque Metropolitano de Granada, que era el utilizado por los denunciantes, a los Delegados de Personal para su traslado a todos los trabajadores de la empresa, ya que en dicho servicio también intervienen otros trabajadores. A este respecto, SOLUCIONES OPERATIVAS DE SEGURIDAD S.L. ha aportado copia de un escrito de fecha 30 de noviembre de 2012 firmado por la empresa y por Delegados Sindicales en el que se informa en los siguientes términos: “La Dirección de la empresa, les comunica mediante el presente, que ha tenido notificación escrita de nuestro cliente, Parque Metropolitano, de algunas incidencias que se están produciendo en el mismo…..Como ustedes conocen, los Vigilantes de Seguridad de Parque Metropolitano, trabajan CON ARMA, de ahí la preocupación de éste comunicado del Cliente, por la imagen dada, por el riesgo que conlleva el ausentarse del servicio para ir a un bar con un arma, y sobre todo por el incumplimiento de las instrucciones dadas al personal del Parque. Como quiera que los Vigilantes del Parque conocen perfectamente cuáles son sus funciones, y qué deben hacer y que no, ésta empresa ha decidido: 1.- Colocar un dispositivo de localización mediante GPS, en el vehículo de la empresa y que tiene base en el Parque, contratándolo con una empresa especialista en éstos dispositivos. 2.- Contratar a una Agencia de Detectives, para que de fe de éstos supuestos incumplimientos. Todo éste se hace, en base a las innumerables veces que se les ha advertido, que no deben salir del recinto del Parque, salvo para repostar, y de cómo se deben realizar los servicios. Estas instrucciones también se han dado por escrito con acuse de recibo”. TERCERO: Con fecha 05/12/2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a SOLUCIONES OPERATIVAS DE SEGURIDAD, por presunta infracción del artículo 5.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como leve en el artículo 44.2.

  1. c)de dicha norma, pudiendo ser sancionada con multa de 900 € a 40.000 €, de acuerdo con el artículo 45.4 de dicha Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 CUARTO: Notificado el acuerdo de inicio, SOLUCIONES OPERATIVAS DE SEGURIDAD formuló las siguientes alegaciones: 1. El dispositivo GPS se instaló en el vehículo de la empresa debido a una denuncia de un cliente ya que al parecer los empleados de la empresa (vigilantes de seguridad) se ausentaban del servicio con el riesgo que supone ya que son portadores de arma. Se comunicó a los Delegados de Personal, y se comunicó a los trabajadores. Posteriormente se comprobó que efectivamente se estaban produciendo incumplimientos contractuales dentro de la relación laboral por lo que se procedió al despido de los 3 denunciantes. 2. Como excepción a la necesaria comunicación al interesado que establece el artículo 5 de la LOPD, está la recogida en el artículo 6.2 de dicha norma. El GPS se instaló no con una función de control horario sino para detectar deficiencias en el servicio por parte de los denunciantes y otro personal de la empresa, consecuencia de quejas manifestadas por el cliente. QUINTO: En fecha 25/04/2014 se emitió propuesta de resolución en el sentido de imponer a SOLUCIONES OPERATIVAS DE SEGURIDAD una multa de 20.000 € por la infracción del artículo 5.1 de la LOPD, tipificada como leve en el artículo 44.2.
  2. c)SEXTO: Notificada dicha propuesta SOLUCIONES OPERATIVAS DE SEGURIDAD reiteró las alegaciones formuladas al acuerdo de inicio del procedimiento sancionador. HECHOS PROBADOS PRIMERO: En fechas 04/04/2013, 09/04/2013 y 18/04/2013, se reciben en la Agencia Española de Protección de Datos escritos de los denunciantes 1, 2 y 3 en los se ponen de manifiesto los siguientes hechos: La empresa SOLUCIONES OPERATIVAS DE SEGURIDAD ha implantado un sistema de GPS en vehículos de la compañía sin informar previamente a sus trabajadores siendo además utilizados como control de la jornada laboral. La compañía manifiesta que se realizó un comunicado a los delegados de personal el mismo día de la instalación del GPS, no obstante, dos de los denunciantes son Secretarios Generales de la distintas Sección Sindicales y manifiestan que en ningún momento se notificó de la instalación de los aparatos GPS y que tuvieron conocimiento de los mismos cuando la empresa, junto con los delegados de personal, hicieron entrega de un escrito a cada uno de los denunciantes donde se le informa de los incumplimientos detectados en sus turnos de trabajo según los datos obtenidos a través del GPS instalado en sus vehículos de empresa y a través de los servicios de una Agencia de detectives contratada con objeto de verificar los incumplimientos detectados. Adjunto a la denuncia, se ha aportado copia de los escritos mencionados firmados por la empresa SOLUCIONES OPERATIVAS DE SEGURIDAD y los representantes sindicales, de fechas 19/02/2013 y 26/03/2013 (folios 1-48) SEGUNDO: En fecha 30/11/2012 SOLUCIONES OPERATIVAS DE SEGURIDAD instaló en el vehículo de la empresa que presta servicio de seguridad en el Parque C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 Metropolitano un dispositivo de localización GPS. Dicho vehículo (marca Peugeot matrícula ***MATRÍCULA.1) era el utilizado por los 3 denunciantes para el desempeño de sus funciones como vigilantes de seguridad (folios 4, 16, 26-27, 36-37, 55, 69, 94-95, 102, 124, TERCERO: Consta en el expediente comunicación de fecha 30/11/2012 dirigida por SOLUCIONES OPERATIVAS DE SEGURIDAD a los Delegados de Personal en el que consta la siguiente información: “Como quiera que los Vigilantes del Parque conocen perfectamente cuales son sus funciones y qué deben hacer y que no, esta empresa ha decidido: 1.Colocar un dispositivo de localización mediante GPS, en el vehículo de la empresa y que tiene base en el Parque, contratándolo con una empresa especialista en estos dispositivos. 2.Contratar a una Agencia de Detectives, para que de fe de estos supuestos incumplimientos.” Dicha comunicación figura firmada bajo la rúbrica “Recibimos el escrito” por quienes la empresa identifica como Delegados de Personal: M.M.M. (USO), N.N.N. (USO), y O.O.O. (UGT). No consta que SOLUCIONES OPERATIVAS DE SEGURIDAD informara a los denunciantes sobre la citada instalación de un localizador GPS en el vehículo que utilizaban para el desempeño de su trabajo de vigilantes de seguridad (folio 69, 95, 134136, 154-155, 164, 175-176) CUARTO: Consta en el expediente escrito de fecha 26/03/2013 dirigido por SOLUCIONES OPERATIVAS DE SEGURIDAD a los Delegados de Personal de la empresa en el que se les informa del resultado del seguimiento efectuado al denunciante 1 mediante el dispositivo GPS instalado en el vehículo de la empresa utilizado en su jornada de trabajo como vigilante de seguridad, y que especifica la localización de éste a determinadas horas en los días: - 1, 3, 4, 15, 16, 19, 25, 28, 29 y 30 de diciembre de 2012. 5, 6, 8, 10, 11, 16, 19, 20, 26, y 29 de enero de 2013 1, 2, 4 y 14 de febrero de 2013. Esta información también se contiene en la carta de despido del denunciante 1, fechada el 03/04/2013 y en la que consta el recibí de éste (folios 4-8, 16-20, 101-107) QUINTO: Consta en el expediente escrito de fecha 19/02/2013 dirigido por SOLUCIONES OPERATIVAS DE SEGURIDAD a los Delegados de Personal de la empresa en el que se les informa del resultado del seguimiento efectuado al denunciante 2 mediante el dispositivo GPS instalado en el vehículo de la empresa utilizado en su jornada de trabajo como vigilante de seguridad, y que especifica la localización de éste a determinadas horas en los días: - C/ Jorge Juan, 6 28001 – Madrid 30 de noviembre de 2012 3, 8, 9, 10, 18, 20, 22, 23, 24 y 29 de enero de 2013. 2, 3, 4, 11, 22, 23 y 31 de enero de 2013. www.agpd.es sedeagpd.gob.es 5/14 - 3, 7, 12, 13, 16 y 17 de febrero de 2013. Esta información también se contiene en la carta de despido del denunciante 2 fechada el 27/02/2013 (folios 26-33, 146-161) SEXTO: Consta en el expediente escrito de fecha 19/02/2013 dirigido por SOLUCIONES OPERATIVAS DE SEGURIDAD a los Delegados de Personal de la empresa en el que se les informa del resultado del seguimiento efectuado al denunciante 3 mediante el dispositivo GPS instalado en el vehículo de la empresa utilizado en su jornada de trabajo como vigilante de seguridad, y que especifica la localización de éste a determinadas horas en los días: - 2, 11, 12, 13, 14, 18, 20, 22, 23, 29 y 31 de enero de 2013. 11, 15, 16, 17, 18, 22, 23, 26, 27 y 28 de enero de 2013. Esta información también se contiene en la carta de despido del denunciante 3 fechada el 27/02/2013 (folios 36-44, 116-130) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. II En el presente caso, se denuncia el incumplimiento del deber de información en el momento de la recogida de los datos previsto en el artículo 5 de la LOPD, al no informar a los denunciantes sobre la instalación de un sistema de geolocalización por GPS. Dicho incumplimiento aparece tipificado como infracción leve en el artículo 44.2.
  4. d)de la LOPD, que considera como tal “Proceder a la recogida de datos de carácter personal de los propios afectados sin proporcionarles la información que señala el artículo 5 de la presente Ley”. Con carácter general, debe indicarse que los artículos 1 y 2 de Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, extienden su protección a los derechos de los ciudadanos en lo que se refiere al tratamiento automatizado de sus datos de carácter personal, siendo definidos éstos en el artículo 3.
  5. a)de la citada Ley como “cualquier información concerniente a personas físicas identificadas o identificables.“ Una cuestión similar a la aquí planteada se trató en el informe de 28 de junio de 2012 del Gabinete Jurídico de esta Agencia donde se expuso, “cuáles son los requisitos legalmente exigibles desde el punto de vista de la protección de datos para la utilización en los vehículos de emergencias policiales de un sistema de geolocalización a través de GPS” en los siguientes términos: <<“Para abordar esta cuestión, debe determinarse en primer lugar si resulta aplicable al supuesto la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) y su normativa de desarrollo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 En primer lugar, el artículo 2 de la Directiva 2002/58/CE relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas define los datos de localización como "cualquier dato tratado en una red de comunicaciones electrónicas que indique la posición geográfica del equipo terminal de un usuario de un servicio de comunicaciones electrónicas disponible para el público" Por tanto, es necesario estudiar si en el supuesto de hecho planteado la instalación de un sistema de geolocalización supone el tratamiento de datos personales por afectar a personas identificables. Con carácter general, debe indicarse que los artículos 1 y 2 de la LOPD extienden su protección a los derechos de los ciudadanos en lo que se refiere al tratamiento automatizado de sus datos de carácter personal, siendo definidos éstos en el artículo 3.
  6. a)de la citada Ley como “cualquier información concerniente a personas físicas identificadas o identificables“. El artículo 5. 1
  7. f)del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD (RDLOPD), considera datos de carácter personal a “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables.” Y es que en virtud del artículo 2.
  8. a)de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, los datos personales son «toda información sobre una persona física identificada o identificable (el «interesado»); se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social». El considerando 26 de la Directiva presta una especial atención a la expresión «identificable» cuando afirma que «para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona, para identificar a dicha persona». El considerando 27 de la Directiva esboza el amplio alcance de la protección: «[considerando] que el alcance de esta protección no debe depender, en efecto, de las técnicas utilizadas, pues lo contrario daría lugar a riesgos graves de elusión». Por eso el artículo 5.1
  9. o)RDLOPD señala que será persona identificable “toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados”. Este es el criterio seguido por la Audiencia Nacional que, en sentencia de 8 de marzo de 2002, ha señalado que “para que exista un dato de carácter personal (en contraposición con dato disociado) no es imprescindible una plena coincidencia entre el dato y una persona concreta, sino que es suficiente con que tal identificación pueda efectuarse sin esfuerzos desproporcionados” y “para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona, para identificar a dicha persona”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 De los términos de la consulta parece que estamos ante un tratamiento automatizado de datos identificativos de las personas, por cuanto, aunque se manifiesta que el tratamiento aparece referenciado a los vehículos policiales, podemos deducir que cabrá la posibilidad de asociar la posición de los mismos con los miembros de la policía que estén haciendo uso de tales vehículos, su identidad. Se indica que la finalidad de este tratamiento es la localización en tiempo real de los coches policiales, pero no se descarta el escrito de consulta al análisis del rendimiento de dicha flota de vehículos, puesto que se refiere a “optimizar los recursos”. Sin embargo, desconocemos en qué medida la asociación del dato de localización con los funcionarios del cuerpo de policía local que van en el vehículo puede realizarse sin esfuerzos desproporcionados. Y es que ello dependerá de los medios de los que razonablemente disponga el responsable del tratamiento. En el supuesto de hecho planteado es razonable pensar que sí que va a crearse un fichero con datos personales, por cuanto se tratará de un fichero de la policía local, y la propia policía conoce o puede identificar sus propias unidades o números de coche, así como la persona o personas usuarias de los vehículos en cuestión. Sin embargo, reiteramos, en la consulta no se ofrecen datos suficientes, dependiendo así de las circunstancias concretas. Esta misma conclusión se alcanzó en informe de 12 de agosto de 2009 en los siguientes términos: “En consecuencia, del tratamiento de los datos de localización de la flota de coches policiales puede deducirse o hacer identificables sin un esfuerzo desproporcionado, a los usuarios de los mismos y el análisis del rendimiento de la flota mediante dicha localización permitiría conocer un conjunto de características que harían identificable al usuario afectado sin gran dificultad. De modo que no estaríamos ante un tratamiento anonimizado, o sometido a un previo procedimiento de disociación, definido en el artículo 3
  10. f)de la LOPD como “todo tratamiento de datos personales de modo que la información que se obtenga no pueda asociarse a persona identificada o identificable.” Los datos de localización de los vehículos se incorporarían a un fichero de datos que, en tanto no permita asociar, porque ello suponga un esfuerzo desproporcionado, cada vehículo con el policía o policías que lo utilizan, no constituiría un fichero o tratamiento de datos de carácter personal sometido al ámbito de aplicación de la LOPD. Por consiguiente, si la posibilidad de identificación fuera muy remota, dicho fichero no quedaría afectado por lo establecido en el artículo 26 de la misma que dice que “Toda persona o entidad que proceda a la creación de ficheros de datos de carácter personal lo notificará previamente a la Agencia de Protección de Datos.” En los mismos términos, el artículo 55 del Reglamento, Real Decreto 1720/2007 establece que “Todo fichero de datos de carácter personal de titularidad pública será notificado a la Agencia Española de Protección de Datos por el órgano competente de la Administración responsable del fichero para su inscripción en el Registro General de Protección de Datos, en el plazo de treinta días desde la publicación de la norma o acuerdo de creación en el diario oficial correspondiente.” Por el contrario, en el caso de que a través del dato de localización pudiera identificarse sin gran dificultad, atendiendo al conjunto de medios que razonablemente puedan ser utilizados por el responsable del tratamiento, lo que en el caso presente parece razonable pensar, ya que la propia policía conoce o puede identificar sus propias unidades o números de coche, así como la persona o personas usuarias del vehículo en cuestión, nos encontraríamos ante un fichero de datos personales de carácter público, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 respecto del cual debería dictarse la correspondiente disposición general de creación y su publicación en el Diario Oficial correspondiente (artículo 20 de la LOPD), e inscribirse en el Registro General de esta AEPD, de acuerdo con la obligación ya señalada del artículo 26 de dicha norma”. También en este sentido, el informe de 25 de mayo de 2009 concluía en los mismos términos, en un supuesto idéntico al ahora planteado: “En consecuencia, del tratamiento de los datos de localización de la flota de coches policiales puede deducirse o hacer identificables sin un esfuerzo desproporcionado, a los usuarios de los mismos y el análisis del rendimiento de la flota mediante dicha localización permitiría conocer un conjunto de características que harían identificable al usuario afectado sin gran dificultad. Si, de conformidad con los criterios expuestos en el apartado anterior, nos encontráramos ante un fichero con datos de carácter personal, la instalación del mismo estará sometida a una serie de requisitos legales: … 3.- De tratarse datos de carácter personal, deberá cumplirse el deber de información al afectado – en este caso, los funcionarios del cuerpo de policía local que vayan a ocupar los vehículos - por el tratamiento de datos, exigido en el artículo 5 de la LOPD, conforme al cual “Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco: a. De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información. b. Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas. c. De las consecuencias de la obtención de los datos o de la negativa a suministrarlos. d. De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición. e. De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante.” Si bien, en el cumplimiento de este deber de información debe recordarse que conforme a lo previsto en el número 3 del artículo 5 de la LOPD “No será necesaria la información a que se refieren las letras b, c y d del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban.” Y queremos especialmente destacar que el responsable del fichero deberá atender el ejercicio de los derechos de acceso, rectificación, oposición y cancelación de los artículos 13 y ss LOPD. 4.- Respecto del consentimiento, con carácter general el artículo 6 LOPD establece que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa.” No obstante su número segundo prevé que dicho consentimiento pueda ser exceptuado en determinados supuestos, que a los efectos que aquí interesan quedan limitados al recogido en el primer inciso de dicho número según el cual “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 El tratamiento de los datos de localización del vehículo policial durante la prestación del servicio y, como consecuencia, de los policías que se encuentran en el mismo responden a la necesidad de garantizar el mejor desarrollo de sus funciones y forma parte de la prestación del servicio de protección de la personas y los bienes, por lo que, el tratamiento de dicho dato vendría amparado en lo previsto en el artículo 6.2 LOPD..>> III En el citado artículo 5 de la LOPD se establece lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
  11. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
  12. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
  13. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos
  14. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
  15. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
  16. c)y
  17. d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban. (...)”. La obligación que impone el artículo 5 de la LOPD es, por tanto, la de informar al afectado en la recogida de datos pues sólo así queda garantizado el derecho del mismo a tener una apropiada información y a consentir o no el tratamiento, en función de aquélla. Así, de acuerdo con lo establecido en el artículo 5 transcrito, SOLUCIONES OPERATIVAS DE SEGURIDAD debió informar a los denunciantes de los que recabó datos sobre los extremos establecidos en el aludido artículo. La información a la que se refiere el artículo 5.1 de la LOPD debió suministrarse a éstos previamente a la solicitud (recogida) de sus datos personales, y deberá ser expresa, precisa e inequívoca. Por su parte el artículo 4.1 de la LOPD concreta las finalidades para las que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 pueden recabarse y tratarse los datos personales exigiendo, a diferencia de la hoy derogada Ley Orgánica 5/1992, de 29 de octubre de Regulación del Tratamiento Automatizado de los Datos de Carácter Personal, que sólo se refería a finalidades “legítimas”, que las mismas sean “determinadas, explícitas y legítimas”. En este sentido, la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, que delimita el contenido esencial del derecho fundamental a la protección de los datos personales, se ha pronunciado sobre la vinculación entre el consentimiento y la finalidad para el tratamiento de los datos personales, en los siguientes términos: “el derecho a consentir la recogida y el tratamiento de los datos personales ( art. 6 LOPD) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad específica que también forma parte del contenido del derecho fundamental a la protección de datos. Y, por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aún cuando puedan ser compatibles con éstos (art. 4.2 LOPD), supone una nueva posesión y uso que requiere el consentimiento del interesado. Una facultad que solo cabe limitar en atención a derechos y bienes de relevancia constitucional y, por tanto, esté justificada, sea proporcionada y, además, se establezca por ley, pues el derecho fundamental a la protección de datos personales no admite otros límites. De otro lado, es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de éstos, pues sólo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos concreta. Pues en otro caso sería fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos. De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia”. De lo expuesto cabe concluir que la vigente LOPD ha acentuado las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a éste, y de las finalidades para las que los datos pueden ser recabados y tratados. La citada Sentencia del Tribunal Constitucional 292/2000, al delimitar el contenido esencial del derecho fundamental a la protección de los datos personales, ha considerado el derecho de información como un elemento indispensable del derecho fundamental a la protección de datos al declarar que “…el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. En este caso, se ha comprobado que SOLUCIONES OPERATIVAS DE SEGURIDAD no ha facilitado a sus trabajadores (los denunciantes) la información prevista legalmente en materia de protección de datos en lo relativo a la instalación de un dispositivo GPS en el vehículo que utilizaban en su jornada laboral para el desempeño de sus funciones como vigilantes de seguridad. SOLUCIONES OPERATIVAS DE SEGURIDAD reconoce que el dispositivo GPS se instaló en el vehículo el 30/11/2012, y que en esa misma fecha se informó a los Delegados de Personal de esta cuestión para que lo trasladaran a los trabajadores. Sin embargo no se ha aportado prueba alguna que acredite que los denunciantes recibieron información sobre la instalación del dispositivo GPS en los términos exigidos por el artículo 5 de la LOPD. Como se refleja en el Informe Jurídico de esta Agencia arriba transcrito estamos ante un tratamiento automatizado de datos de carácter personal porque es posible, sin un esfuerzo desproporcionado, asociar la posición de los vehículos policiales, su localización, con los miembros de la policía que estén haciendo uso de tales vehículos, su identidad. Los dispositivos instalados en los coches policiales emiten señales que controlan la hora de puesta en marcha y parada, recorrido efectuado, paradas intermedias, lugares exactos de situación y, en definitiva, su localización efectiva, obteniendo así datos del lugar en que se encuentra cada una de las personas por medio de los dispositivos instalados. Consta en el expediente informes emitidos con los datos suministrados por el dispositivo GPS instalado en el vehículo utilizado por los denunciantes con datos precisos de localización de éstos, con concreción de recorridos, lugares, horas, velocidad y el tiempo de parada. Aceptado que se realiza un tratamiento de datos de carácter personal, en este caso este tratamiento de datos está exceptuado del consentimiento preceptivo del artículo 6 de la LOPD porque en esta ocasión se tratan datos que se refieren a las partes de un contrato de una relación negocial, laboral o administrativa y son necesarios para su mantenimiento o cumplimiento, toda vez que se trata de datos personales de los trabajadores de SOLUCIONES OPERATIVAS DE SEGURIDAD. Esta excepción, sin embargo no exime del deber de información que recoge el imputado artículo 5 de la LOPD que no se cumplió en esta ocasión. SOLUCIONES OPERATIVAS DE SEGURIDAD acredita que los Delegados de Personal de la empresa fueron informados el mismo día sobre la instalación del dispositivo GPS, información que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 aún siendo recomendable efectuar siendo estos los representantes de los trabajadores, no exime de la obligación de informar de modo claro y expreso a los titulares de los datos que se van a recabar, en este caso, los denunciantes, extremo éste que la empresa no ha acreditado en modo alguno. Entre todas las cuestiones de que debe informarse previamente a la obtención de los datos se encuentra la finalidad de la recogida, cuestión de especial importancia en un caso como este en que una de las finalidades potenciales del sistema denunciado es la del control laboral. Finalidad de la que deberán ser informados previa, expresa, precisa e inequívocamente los afectados a quienes se soliciten datos como los aquí planteados. Respecto de esta cuestión del control laboral del empleado se debe tener en cuenta el debido equilibrio entre las facultades que le son reconocidas al empleador en el artículo 20.3 del E.T. y los derechos que le son reconocidos al trabajador en el artículo 4.2.
  18. e)del E.T. que reconoce al trabajador el derecho “al respeto de su intimidad y a la consideración debida a su dignidad”. Y el artículo 20.3 del E.T. recoge que: “3. El empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para la verificación del cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a la dignidad humana y teniendo en cuenta la capacidad real de los trabajadores disminuidos en su caso”. El artículo 20.3 del Estatuto de los Trabajadores faculta al empresario para adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad humana. La legitimación prevista en el artículo 20.3 del ET permite el tratamiento de los datos de carácter personal con esta finalidad del control laboral sin necesidad del consentimiento inequívoco del afectado, según la excepción prevista en el artículo 6 de la LOPD, que, de nuevo, tampoco exime al empleador de la obligación de informar de dicho tratamiento a los trabajadores. En consecuencia, ha quedado acreditado que SOLUCIONES OPERATIVAS DE SEGURIDAD, incumplió el deber de informar establecido en el artículo 5 de la LOPD, dado que no facilitó a los denunciantes la información prevista legalmente en materia de protección de datos en lo relativo a la instalación de un dispositivo GPS en el vehículo que estos utilizaban en su jornada laboral para el desempeño de sus funciones de vigilantes de seguridad. IV El artículo 44.2.
  19. c)de la LOPD considera infracción leve: “El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado” En este caso, ha quedado acreditado que SOLUCIONES OPERATIVAS DE SEGURIDAD recabó datos personales de los denunciantes sin facilitarles la información C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 que señala el artículo 5 de la LOPD, por lo que debe considerarse que ha incurrido en la infracción descrita. V El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  20. a)El carácter continuado de la infracción.
  21. b)El volumen de los tratamientos efectuados.
  22. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  23. d)El volumen de negocio o actividad del infractor.
  24. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  25. f)El grado de intencionalidad.
  26. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  27. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  28. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  29. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. Teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, en concreto la ausencia de vinculación de la actividad de la imputada con el tratamiento de datos de carácter personal, unido al hecho de que se informó a los representantes de los trabajadores de la instalación del dispositivo de localización GPS que recabó los datos de los denunciantes, se impone una multa de 20.000 € por la infracción del artículo 5.1 de la LOPD. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 PRIMERO: IMPONER a la entidad SOLUCIONES OPERATIVAS DE SEGURIDAD, S.L., por una infracción del artículo 5.1 de la LOPD, tipificada como grave en el artículo 4.2.
  30. c)de dicha norma, una multa de 20.000 € (veinte mil euros) de conformidad con lo establecido en el artículo 45.1 y 4 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución y todos sus anexos a SOLUCIONES OPERATIVAS DE SEGURIDAD, S.L. TERCERO: NOTIFICAR la presente resolución y su anexo correspondiente a cada uno de los denunciantes CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.