← España

PS-00599-2016

1/8 Procedimiento Nº PS/00599/2016 RESOLUCIÓN: R/00916/2017 En el procedimiento sancionador PS/00599/2016, instruido por la Agencia Española de Protección de Datos a la entidad NH CENTRAL RESERVATION OFFICE, S.A., vista la denuncia presentada por Doña A.A.A., y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 25 de octubre de 2016, tuvo entrada en esta Agencia un escrito remitido por Doña A.A.A. en el que declara expresamente lo siguiente: “El pasado 8/01/2015, hice una consulta dentro de mi empresa sobre mi situación en la Seguridad Social. Por un error de la empresa, estaba dada de baja desde el 31/12/14. Me enteré trabajando el día 6/01/15 por un SMS que me llega de la Tesorería. Cuando pregunto sobre esta situación irregular, la respuesta del responsable de RRHH de mi empresa pone en copia a todos mis compañeros con un pantallazo donde se pueden ver mis datos personales (número Seguridad Social, DNI, fecha de nacimiento, número móvil personal, tipo de contrato). La empresa pone como clave para acceder a las nóminas el Núm. de la Seguridad Social y de esta manera, cualquier compañero podía acceder hasta a mi número de cuenta. Estoy aún de baja por XXXX, por las consecuencias negativas que ha realizado la empresa contra mi persona. Les adjunto los emails del correo corporativo donde pueden verlo.” SEGUNDO: De lo anterior se desprende que la empresa en que trabaja la denunciante ha enviado a un grupo de empleados una imagen de la consulta de la situación de la denunciante en la Seguridad Social que contiene datos de carácter personal de la afectada, lo que podría suponer una vulneración del deber de secreto por parte de la entidad denunciada. TERCERO: Con fecha 14 de diciembre de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la entidad NH CENTRAL RESERVATION OFFICE, S.A., por la presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

  1. d)de dicha norma, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la entidad NH CENTRAL RESERVATION OFFICE, S.A. formuló alegaciones, significando, que: “…En el caso que nos ocupa, es claro que no ha habido intencionalidad por parte de NH, pero tampoco ha habido simple inobservancia o negligencia, puesto que la Compañía ha actuado en todo momento, en base a lo expuesto anteriormente, con la diligencia que le es exigida como responsable de tratamiento y dando contestación a una petición personalísima que ya incluía compañeros interesados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 Por tanto, en este supuesto resulta de aplicación lo dispuesto por el Tribunal Supremo en sentencia de fecha 23 de enero de 1998, según la cual para la exculpación no basta la invocación de la ausencia de culpa, sino que es necesario que se haya empleado la diligencia exigible por quien aduce su inexistencia, circunstancia que concurre en ci caso de NH, tal y como ha quedado expuesto a lo largo dci presente documento. En consecuencia, manifestamos la concurrencia de varios elementos de cara a la correcta graduación de la cuantía de las sanciones, puesto que ha quedado acreditado, entre otros, que: NH obró en todo momento con la diligencia que le es exigible de conformidad con la normativa en materia de protección de datos; que no se aprecia reincidencia en la comisión de la infracción; ni el elemento subjetivo de culpabilidad en la comisión de la infracción, ya que la misma se ha debido a un hecho único, aislado e involuntario; que los beneficios obtenidos por NH con la supuesta comisión de dicha infracción han sido nulos; que el ámbito en el que se ha producido la supuesta infracción es el menos gravoso posible por tratarse de compañeros de centro de trabajo empleados de NH; y que los perjuicios causados al denunciante han sido de mínima entidad”. Concluye el escrito de alegaciones solicitando que se proceda al archivo definitivo del procedimiento sancionador o que subsidiariamente se declare la sanción en su grado mínimo y se minore la propuesta en el acuerdo de inicio de procedimiento sancionador. QUINTO: Con fecha 8 de febrero de 2017, se formuló propuesta de resolución, proponiendo la imposición de una sanción de 6.000 € (seis mil euros) a la entidad NH CENTRAL RESERVATION OFFICE, S.A., por la comisión de una infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
  2. d)de dicha Ley. La propuesta de Resolución fue recibida el día 14 de febrero de 2017, sin que se hayan recibido alegaciones a la misma. HECHOS PROBADOS: PRIMERO: El 8 de enero de 2016, el responsable de Recursos Humanos de la entidad NH CENTRAL RESERVATION OFFICE, S.A. envió por correo electrónico los datos de la cuenta de cotización de la Seguridad Social de una empleada a un grupo numeroso de trabajadores de la entidad. SEGUNDO: Los datos personales de la empleada que se incluyen en el correo enviado son: nº de la Seguridad Social, nº DNI, fecha de nacimiento, número de teléfono móvil personal, tipo de contrato. La empleada ha manifestado que la empresa pone como clave para acceder a las nóminas el nº de la Seguridad Social, de manera que cualquier compañero podía acceder hasta a su número de cuenta. Expone también que está de baja por XXXX, a consecuencia de este envío. TERCERO: La entidad NH CENTRAL RESERVATION OFFICE, S.A. no ha acreditado que contara con el consentimiento de la denunciante para la difusión de sus datos personales entre sus compañeros de trabajo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. II El artículo 10 de la LOPD que se considera infringido dispone "El responsable del fichero y quienes intervengan en cualquier fase de tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero, o, en su caso, con el responsable del mismo". El artículo 10 de la LOPD contiene una regla que afecta a la confidencialidad como parte de la seguridad de los datos de carácter personal, tratando de salvaguardar el derecho de las personas a mantener la privacidad de tales datos y, en definitiva, el poder de control o disposición sobre los mismos. El deber de secreto trata de salvaguardar o tutelar el derecho de las personas a mantener la privacidad de sus datos de carácter personal y en definitiva el poder de control o disposición sobre sus datos. Este deber de secreto está lógicamente relacionado con el secreto profesional. Según el ATC de 11 de diciembre de 1989 "el secreto profesional se entiende como la sustracción al conocimiento ajeno, justificada por razón de una actividad, de datos o informaciones obtenidas que conciernen a la vida privada de las personas". El deber de secreto en el tratamiento de datos personales, tiene la misma fundamentación jurídica, pero se refiere al ámbito estricto del tratamiento de los datos personales, para que el responsable del fichero y, cualquier persona que intervenga en el tratamiento, esté obligado al mantener la confidencialidad de los datos personales”. En este sentido el deber de sigilo como hemos señalado en las SSAN, Sec. 1ª, de 14 de septiembre de 2002 (Rec.196/00), 13 de abril de 2005 (Rec. 230/2003), 18 de julio de 2007 (Rec. 377/2005 ) "es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000 (...) Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de los derechos fundamentales, como la intimidad o el derecho a la protección de datos que recoge el artículo 18.4 de la CE (...)". El citado artículo 10 regula de forma individualizada el deber de secreto de quienes tratan datos personales, dentro del título dedicado a los principios de protección de datos, lo que refleja la gran importancia que el legislador atribuye al mismo. Este deber de secreto pretende que los datos personales no puedan conocerse por terceros, salvo de acuerdo con lo dispuesto en otros preceptos de la LOPD, como por ejemplo el artículo 11 (comunicación de datos). En este procedimiento ha quedado acreditado que la entidad NH CENTRAL C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 RESERVATION OFFICE, S.A. envió un correo electrónico a un grupo numeroso de empleados con los datos personales de la cuenta de la Seguridad Social de una de las empleadas, con los datos de: nº de la Seguridad Social, nº DNI, fecha de nacimiento, número móvil personal, tipo de contrato. En este caso, ese deber de secreto comporta que la entidad NH CENTRAL RESERVATION OFFICE, S.A., responsable de los datos personales de sus empleados, no puede revelarlos a terceros, salvo con consentimiento de los afectados o en los casos autorizados por la ley. III Alega la entidad denunciada que no existió actuación que pueda ser considerada como infracción a la LOPD porque no hubo intencionalidad pero tampoco simple inobservancia o negligencia porque la compañía actuó con la diligencia exigida como responsable del tratamiento y contestando a una petición que ya incluía a compañeros interesados. A este respecto los tribunales entienden que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Esta alegación no puede ser tenida en cuenta, dado que, si bien el principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa, este principio de culpa no implica que sólo pueda sancionarse una actuación intencionada. Y a este respecto el artículo 28.1 de la Ley 40/2015, de 1 octubre, de Régimen Jurídico del Sector Público, dispone “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” El Tribunal Supremo (STS de 16 de abril de 1991 y STS de 22 de abril de 1991) considera que del elemento de culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS de 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “Sobre la falta de culpabilidad, ha de decirse que generalmente este tipo de conductas no tienen un componente doloso, y la mayoría de ellas se producen sin malicia o intencionalidad. Basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros (...) lo que denota una falta evidente en la observancia de esos deberes que conculcan claramente los principios y garantías establecidas en la Ley Orgánica 5/1992, de 29 de octubre de Regulación del Tratamiento de Datos de Carácter Personal...” (SAN de 29 de junio de 2001). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 Conforme a esta doctrina jurisprudencial, es evidente la existencia, en este caso de, al menos, una falta de diligencia plenamente imputable a la entidad denunciada por haber comunicado los datos identificativos de una de sus empleadas a terceros no autorizados, hecho que pudo haberse detectado si hubiera empleado la diligencia debida que le resulta exigible. De manera que, tal y como expone la entidad denunciada en sus alegaciones, el principio de culpabilidad exigido en el marco de los procesos sancionadores concurre incluso en casos de mera inobservancia de la diligencia debida, sin necesidad de que se haya producido una conducta intencionada. IV La conducta de la entidad denunciada se incardina en el artículo 44.3.
  4. d)de dicha norma que considera como tal: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En este procedimiento se ha acreditado que la entidad denunciada ha divulgado los datos personales incluidos en la cuenta de cotización de la Seguridad Social de una de sus empleadas a todos los demás empleados a los que se dirigió un correo electrónico. Dado que ha existido una vulneración en el deber de guardar secreto por parte de la entidad NH CENTRAL RESERVATION OFFICE, S.A. en relación con datos personales de su empleada, se considera que ha incurrido en la infracción descrita. El hecho constatado de la difusión de datos personales fuera del ámbito del afectado, establece la base de facto para fundamentar la imputación de la infracción del artículo 10 de la LOPD. V El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  5. a)El carácter continuado de la infracción.
  6. b)El volumen de los tratamientos efectuados.
  7. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  8. d)El volumen de negocio o actividad del infractor.
  9. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  10. f)El grado de intencionalidad.
  11. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  12. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 personas.
  13. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  14. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  15. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  16. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  17. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  18. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  19. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” De acuerdo con los fundamentos anteriores, se deduce que por parte de la entidad NH CENTRAL RESERVATION OFFICE, S.A. se ha producido una vulneración del deber de guardar secreto de los datos, que ha tenido como consecuencia que los datos personales de una de sus empleadas fueran vistos por un considerable número de terceros no autorizados, infracción que procede calificar como grave, sin que pueda exonerarse su responsabilidad tal como se ha demostrado en este procedimiento, por lo que procede su imputación, elemento necesario en el derecho administrativo sancionador tal como establece la STS de 27/5/99: “Para la imposición de una sanción y las consecuencias derivadas del ilícito administrativo, no basta que la infracción esté tipificada y sancionada…sino que es necesario que se aprecie en el sujeto infractor el elemento o categoría denominado culpabilidad. La culpabilidad es el reproche que se hace a una persona, porque ésta debió haber actuado de modo distinto de cómo lo hizo”. Expone la entidad denunciada en sus alegaciones que concurren las circunstancias previstas en los puntos a, g, e, h, i del artículo 45.4 de la LOPD. En prueba de que tiene implantados procedimientos adecuados de actuación en el tratamiento de datos personales, se aportan dos páginas con las “recomendaciones del uso del correo corporativo”. En estas recomendaciones se recoge que en el cuerpo del mensaje no se incluya información o referencias personales. A este respecto cabe contestar que en el acuerdo de inicio ya se consideró que concurrían varios criterios de los previstos en el artículo 45.4, tales como:
  20. a)El carácter continuado de la infracción, que en esta ocasión no concurre porque se trató de un hecho puntual. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8
  21. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción. En este caso no constan beneficios obtenidos como consecuencia de la comisión de la infracción
  22. f)El grado de intencionalidad. Se tiene en cuenta en esta ocasión que no hay constancia de actuación intencionada.
  23. g)La reincidencia por comisión de infracciones de la misma naturaleza. La entidad denunciada no figura como responsable de infracciones de la misma naturaleza que la cometida en el presente procedimiento. La concurrencia de estas circunstancias llevó a apreciar la procedencia de la aplicación de la escala de sanciones que precede inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso, por la concurrencia del supuesto previsto en el punto
  24. a)del artículo 45.5 LOPD, que establece: “Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo”. En segundo lugar, el art. 45.4 recoge una serie de criterios relativos a la aplicación del principio de proporcionalidad en la graduación del importe de la sanción, según las indicaciones del art. 29.3 de la Ley 40/2015, de 1 octubre, de Régimen Jurídico del Sector Público, que establece: “3. En la determinación normativa del régimen sancionador, así como en la imposición de sanciones por las Administraciones Públicas se deberá observar la debida idoneidad y necesidad de la sanción a imponer y su adecuación a la gravedad del hecho constitutivo de la infracción. La graduación de la sanción considerará especialmente los siguientes criterios:
  25. a)El grado de culpabilidad o la existencia de intencionalidad.
  26. b)La continuidad o persistencia en la conducta infractora.
  27. c)La naturaleza de los perjuicios causados.
  28. d)La reincidencia, por comisión en el término de un año de más de una infracción de la misma naturaleza cuando así haya sido declarado por resolución firme en vía administrativa.” Pues bien la secuencia de hechos expuesta en este caso, valoradas en aplicación de dichos criterios, permiten, que en este caso, se considere procedente que se fije la cuantía de la sanción en 6.000 euros, al haberse constatado una disminución cualificada de la culpabilidad y teniendo en consideración los mencionados puntos a, e, f, g del artículo 45.4 LOPD, por la infracción del artículo 10 de la LOPD. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad NH CENTRAL RESERVATION OFFICE, S.A., por una infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
  29. d)de la LOPD, una multa de 6.000 € (seis mil euros), de conformidad con lo establecido en el artículo 44, apartados 4 y 5 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a la entidad NH CENTRAL RESERVATION OFFICE, S.A. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. Informar igualmente que, conforme a lo establecido en el artículo 65 de la Ley 58/2003, de 17 de diciembre, y el artículo 46 del Real Decreto 939/2005, de 29 de julio, por el que se aprueba el Reglamento General de Recaudación podrá solicitar el aplazamiento y/o fraccionamiento del pago de la sanción. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.