1/12 Procedimiento nº.: PS/00448/2013 ASUNTO: Recurso de Reposición Nº RR/00251/2014 Examinado el recurso de reposición interpuesto por la entidad AUTOPISTAS DE NAVARRA S.A. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00448/2013, y de acuerdo con los siguientes, HECHOS PRIMERO: Con fecha 14 de febrero de 2014, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00448/2013, en virtud de la cual se imponía a la entidad AUTOPISTAS DE NAVARRA S.A., una sanción de 40.001 €, por la vulneración de lo dispuesto en el artículo 7.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como muy grave en el artículo 44.4.b), de conformidad con lo establecido en el artículo 45 .2, .3, .4 y .5 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 19 de febrero de 2014, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00448/2013, quedó constancia de los siguientes: procedimiento sancionador, <<PRIMERO: Consta acreditado en el presente expediente sancionador que con fecha 5 de junio de 2013, se realiza inspección por esta Agencia Española de Protección de Datos en los locales de la empresa AUTOPISTAS DE NAVARRA, S.A. En el acta de inspección de esa visita consta que las inspectoras actuantes informan al representante de la entidad, de que su visita está motivada por una denuncia presentada ante la Agencia Española de Protección de Datos por un trabajador de la empresa, con relación a la existencia de un fichero Excel en la base de datos informática de la compañía, en el que constan datos de salud de los trabajadores, cuyo origen son, al parecer, los partes de las bajas médicas de todos los trabajadores que se han encontrado en esta situación en los últimos 15 años. (folios 8 a 11) SEGUNDO: En la visita de inspección se accede a los sistemas informáticos de la entidad, y se comprueba que en la carpeta PERSONAL, existe otra carpeta denominada INCAPACIDAD LABORAL PARTES, en la cual existe un fichero Excel denominado Listado Bajas. Xlsx. Se accede al contenido de este fichero verificándose la existencia de datos asociados a 75 personas, donde consta la siguiente información: apellido, o nombre y apellido en algunos casos, año en el que se produce la incidencia por enfermedad, días de ausencia y enfermedad que motiva la ausencia. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 En el documento 1 del acta de inspección en el que se imprime el contenido del fichero Excel, se aprecia que figuran las cuatro columnas descritas, organizadas por cada uno de los empleados y se registran por años, de más reciente a más antiguo, las sucesivas enfermedades que dan lugar a las ausencias del trabajo, en uno de los casos se relacionan desde el año 1991 hasta el 2011 un total de 24 episodios, y en varios trabajadores se relacionan los sucesivos problemas de salud que dan lugar a ausencias del puesto desde el año 1999 y desde el año
- En esta cuarta columna se observan, entre otros muchos, los siguientes diagnósticos médicos: bursitis troncanterea, lesión menisco, gastroenteritis, depresión, síndrome cervicobraquial, politraumatismo, trastorno adaptativo, lumbociatica... (folios 8 a 21) TERCERO: A la vista de la información contenida en el citado fichero, el Jefe de Personal manifiesta que, hasta ese momento no tenían constancia de la existencia de dicho fichero. Suponen que fue creado para llevar un control de los días de ausencia por enfermedad de los trabajadores a efectos de gestiones internas de la empresa para sustituciones y permisos. Que no se utiliza en la actualidad, siendo la última fecha que consta en el mismo del año 2011, no obstante, el último acceso que consta fue realizado en febrero de
- Que la única persona que ha podido incluir datos en el citado fichero, era el anterior adjunto al Jefe de Personal, que es el denunciante, ya que solo ellos dos, el Jefe de Personal y el Adjunto, tenían permisos para acceder al contenido de la carpeta PERSONAL. El denunciante ocupó el puesto de Adjunto desde el 1 de enero de 2008, hasta el 15 de octubre de 2011, fecha en la que le fueron cancelados todos los permisos al área informática relativa a temas de PERSONAL. (folios 8 a 11) CUARTO: Consta en el acta de inspección que se comprobó, en la copia de seguridad correspondiente al año 2010, que el citado fichero fue creado el 28 de octubre de 2010 por el anterior Adjunto al Jefe de Personal, y se comprueba que el autor del último acceso, de fecha 2 de febrero de 2012, fue el actual Adjunto al Jefe de Personal. Respecto del origen de los datos de salud anteriores al año 2010 registrados en el fichero, el representante de la entidad manifestó desconocerlo. (folios 8 a 39) QUINTO: En la inspección se accedió al fichero en el que se almacena la información de las bajas de los empleados que es el denominado “NÓMINAS” inscrito en el Registro General de Protección de Datos, comprobando que las fechas de ausencia por enfermedad coinciden con la información registrada en el fichero Excel denunciado pero que en este caso no existe información relativa a datos de salud, constando la siguiente información: Tipo (enfermedad o accidente laboral), inicio de la incidencia, final incidencia, recaída, inicio recaída, base cálculo. (folios 8 a 27) SEXTO: Que la entidad Autopistas de Navarra no ha podido acreditar en el expediente que contara con el consentimiento para el tratamiento de los datos personales relativos a la salud de sus empleados.>> TERCERO: La entidad AUTOPISTAS DE NAVARRA S.A. ha presentado en fecha 19 de marzo de 2014, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en que “la conducta que da origen a la apertura del procedimiento disciplinario no responde al tipo infractor contemplado en el art. 7.3 de la LOPD” y “en la inexistencia de culpabilidad alguna en la comisión de aquella por parte de Autopistas de Navarra, S.A.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 Continúa el recurso exponiendo que: “Ni los hechos acreditados integran el tipo infractor del artículo 7.3 de la LOPD ni cabe atribuir responsabilidad alguna respecto de los mismos a Autopistas de Navarra, S.A. (…) En efecto, no cabe estimar que se esté en presencia de un tratamiento de datos de salud, porque el fichero no tenía esa finalidad, circunstancia ésta que aparece recogida en la propia resolución, sin que la ausencia de consentimiento cobre una especial trascendencia dado que la recogida de los datos se hacía, en todo caso, de forma deliberadamente ajena al trabajador y a la propia empresa, que desconocía la creación “autóctona” del mismo por un empleado que actuaba en contra de las instrucciones de su empleador. (…) …la empresa actuó con la diligencia exigible sin que ésta pudiera alcanzar a una conducta deliberadamente clandestina de uno de sus trabajadores…” Concluye el escrito de recurso solicitando que se dicte resolución por la que: “A. Anule, por no ser conforme a Derecho, la resolución impugnada. B. Declare la no existencia de responsabilidad de AUDENASA C. Subsidiariamente, estime la presunta infracción como leve.” FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por la entidad AUTOPISTAS DE NAVARRA S.A., debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del III al VI ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: << III Se imputa a la entidad Autopistas de Navarra S.A. la infracción de lo establecido en el artículo 7.3 de la LOPD. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia de 30 de noviembre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 de 2000, “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporciona a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)” (F.J. 7 primer párrafo). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El artículo 7 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal establece el régimen específicamente protector diseñado por el legislador para aquellos datos personales que proporcionan una información de esferas más íntimas del individuo, a los que etiqueta bajo la denominación común de “Datos especialmente protegidos”. Para las diversas categorías de éstos el precepto citado establece específicas medidas para su protección. En el supuesto específico de los datos de salud, el legislador español siguiendo al europeo (artículo 6 del Convenio 108/81 Consejo de Europa, para la protección de las personas con respecto al tratamiento de datos de carácter personal) y al de la Comunidad Europea (artículo 8 Directiva 95/46 CEE de 24 de octubre de 1995) los considera como especialmente protegidos, o sensibles, en la denominación europea o comunitaria y prevé que sólo puedan ser recabados, tratados y cedidos, cuando por razones de interés general así lo disponga una Ley o el afectado consienta expresamente (artículo 7.3 LOPD). Ello quiere decir que sólo en estos supuestos específicos dichos datos podrán ser tratados. No obstante lo anterior, el artículo 8 la Ley Orgánica 15/99 establece que las instituciones y centros sanitarios, y los profesionales correspondientes podrán tratar sin consentimiento datos relativos a la salud de las personas que a los mismos acudan o hayan de ser tratados en ellos, de acuerdo con la legislación estatal o autonómica sobre sanidad. El artículo 7.2 de la LOPD exige para el tratamiento de datos especialmente protegidos que revelen la ideología, afiliación sindical, religión y creencias el consentimiento expreso y escrito del afectado. El artículo 7.3 reitera, para el tratamiento de los datos de salud la exigencia de consentimiento expreso del afectado, pero no la relativa a que deba constar por escrito. Cabe, en consecuencia, admitir la posibilidad de que la manifestación del consentimiento expreso no conste por escrito. Sin embargo, esta posibilidad debe ponerse en relación con los elementos que integran la definición de consentimiento recogida en el artículo
- h) de la LOPD; a saber, que sea una manifestación de voluntad libre, inequívoca, específica e informada. De ellos resulta particularmente relevante este último extremo – que sea informada – pues sin él difícilmente concurrirán otros como que sea inequívoca y específica. En resumen, la posibilidad de admitir un consentimiento expreso que no conste por escrito para el tratamiento de los datos de salud, debe subordinarse a que pueda acreditarse que es una manifestación de voluntad libre, inequívoca y específica que se presta previo el conocimiento de una concreta información entre la que necesariamente ha de constar la finalidad determinada y explícita del tratamiento de que sean objeto los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 datos personales del afectado. Lógicamente, la concurrencia de los extremos expuestos deberá constatarse en cada caso concreto. La entidad Autopistas de Navarra S.A. ha aportado en las alegaciones al acuerdo de inicio “las declaraciones prestadas por cuatro trabajadores de la compañía, en relación con el uso habitual en materia de gestión de los partes de baja, que adveran la finalidad y forma en que los datos se obtuvieron y el acceso a los mismos. Queda así probado que no era la salud el objeto del fichero, sino el recoger la bajas a efectos de nóminas, sustituciones y permisos. Asimismo la obtención del dato la facilita el propio trabajador sin que, como apunta la denuncia, tuviera una intervención ilícita la empresa abriendo sobres cerrados. Queda probado, en fin, que su “creación” es de absoluta responsabilidad del denunciante, sin que quepa sostener participación alguna de la empresa en tal conducta.” Las cuatro declaraciones de empleados aportadas informan de que es práctica habitual de la empresa la entrega de los partes de bajas por enfermedad, tanto la copia para la empresa como la copia que hay que enviar a la Mutua, en abierto, sin cerrar. Según la entidad denunciada este hecho prueba la forma en que se obtuvieron los datos y su finalidad que no era la salud sino recoger las bajas a efectos de nóminas sustituciones y permisos, prueba que no se obtuvieron los datos de forma ilícita y que el único responsable de la creación de dicho fichero es el denunciante. El hecho de que los partes en los que se recoge la causa que motiva la baja se entreguen por los afectados en abierto, no faculta a la entidad empleadora a la recogida, grabación, conservación, elaboración (y demás procesos que conforman la definición de tratamiento de datos personales) de los datos en ellos consignados, es decir a su tratamiento y en particular el tratamiento del dato relativo a la salud que, como ya hemos visto, requiere de un consentimiento cualificado para estos datos personales de los afectados que debe ser expreso. Por otra parte tampoco puede aceptarse que, esta práctica habitual en la empresa, la entrega en abierto de los partes de baja, pruebe que la “creación” del fichero “es de absoluta responsabilidad del denunciante sin que quepa sostener participación alguna de la empresa en tal conducta”. Cabe recordar que corresponde siempre al responsable del tratamiento comprobar que tiene el consentimiento del afectado cuando realiza algún tratamiento con los datos personales de éste, así, en este sentido la Audiencia Nacional, en sentencia de fecha 31 de mayo de 2006 señalaba: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. La Organización Mundial de la Salud en su Carta Magna
(1946)definió la salud como “el estado de completo bienestar físico, mental o social, y no solamente la ausencia de afecciones o enfermedades”. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal define en su artículo 5.g) los datos de carácter C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 personal relacionados con la salud como: “las informaciones concernientes a la salud pasada, presente y futura, física o mental, de un individuo. En particular, se consideran datos relacionados con la salud de las personas los referidos a su porcentaje de discapacidad y a su información genética”. Por otro lado, la LOPD alude genéricamente a datos de salud en su artículo 7 sin concretar el alcance de la expresión, de forma que para determinar dicho concepto es clarificador acudir al Convenio 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento de datos de carácter personal, de 28 de enero de 1.981 que lo define como las informaciones concernientes a la salud pasada, presente y futura, física o mental, de un individuo, pudiendo tratarse de informaciones sobre un individuo de buena salud, enfermo o fallecido; añadiendo que debe entenderse que estos datos comprenden, igualmente, las informaciones relativas al abuso del alcohol o al consumo de drogas. Igualmente, la Recomendación R
(97)5 del Comité de Ministros del Consejo de Europa relativa a Protección de Datos Médicos, que define estos como “todos los datos de carácter personal relativos a la salud de una persona. Afecta igualmente a los datos manifiesta y estrechamente relacionados con la salud, así como con las informaciones genéticas”. Existe por otra parte un consenso doctrinal cada vez más afianzado en orden a considerar como dato de salud todos aquellos de carácter personal que indiquen la situación de salud o enfermedad de un individuo, que revelen una alteración en la misma e incluso, como se ha indicado, se llega en el ámbito del Consejo de Europa a considerar como tales los reveladores de una situación de buena salud. Se expone en las alegaciones a la propuesta de resolución que no se está en presencia de un tratamiento de datos de salud, porque el fichero no tenía esa finalidad y que la ausencia de consentimiento no tiene una especial trascendencia porque la recogida de datos se hacía de forma ajena al trabajador y a la empresa que desconocía la creación del mismo por un empleado que actuaba en contra de las instrucciones de su empleador. En este caso se observa que los primeros registros del fichero corresponden a los años 90, muchos años antes de que el empleado a quien se imputa la creación del fichero ocupara el puesto desde el que tuvo acceso a los temas de personal de la empresa como adjunto al Jefe de Personal, el 1 de enero de 2008. En este caso concreto no cabe duda de que los datos registrados en el fichero objeto de denuncia contenía datos personales relativos a la salud de los empleados de la entidad imputada (folios 13 a 21) y que esta no ha podido acreditar en el expediente que contara con el consentimiento de los afectados para su tratamiento. IV Alega la entidad imputada al acuerdo de iniciación del expediente, la falta de determinación de los hechos que motivan la apertura del presente procedimiento. A esto cabe contestar que ya en la inspección realizada en los locales de la entidad denunciada el 5 de junio de 2013 se informó a los representantes de la entidad sobre cuál era el motivo de la misma, información esta que se incluye en el acuerdo de inicio y en los hechos probados del procedimiento y que no ha impedido a la entidad imputada C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 presentar sus alegaciones con relación a los concretos hechos imputados en el acuerdo de inicio así como a la posible calificación y la sanción que pudiera corresponder que se contemplan en dicho acuerdo. Por todo ello no se considera que por este motivo se vulnere el derecho de defensa del imputado en el procedimiento. Se alega por otra parte que, “descartada la eventual calificación de los hechos como constitutivos de infracción, ...parece necesario apuntar la falta de responsabilidad de AUDENASA en la comisión de los mismos, responsabilidad que puede atribuirse a quien los realizó al margen de cualquier decisión societaria”, dicha alegación debe desestimarse y ello según lo siguiente: Los datos personales de los trabajadores de la entidad denunciada, están incluidos en el fichero “NÓMINAS” cuyo responsable es Autopistas de Navarra S.A. según consta en el Registro General de Ficheros de esta Agencia, y son datos de carácter personal que, por lo tanto, están sujetos al ámbito de aplicación de la LOPD por ser datos de personas físicas. La LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
- d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
- c)delimita, en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En la misma línea el artículo 5.1
- q)del RDLOPD define como responsable del fichero o del tratamiento a la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados.” Por lo que debe entenderse que la expresión “responsables de los ficheros”, contenida en el precitado artículo 43.1 de la LOPD, se refiere tanto a los responsables del fichero como a los responsables de los tratamientos. Dentro de la doctrina expuesta y de conformidad con las definiciones citadas la entidad Autopistas de Navarra S.A., es el responsable del fichero y del tratamiento de los datos de carácter personal de sus empleados que se encontraban registrados en el fichero de Excell denominado Listado Bajas. xlsx que incluía datos relativos a la salud de los mismos. En consecuencia, la entidad Autopistas de Navarra S.A. está sujeta al régimen de responsabilidad recogido en el Título VII de la LOPD. Con fecha 15 de noviembre se ha aportado constancia del despido del trabajador de la entidad imputada en el presente procedimiento sancionador y autor de la denuncia. En dicho escrito la entidad manifiesta que con ello se “acredita la existencia de toda ausencia de culpabilidad de AUDENASA como presunto responsable de una pretendida conducta infractora”. Esta afirmación no puede compartirse por esta Agencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 de Protección de Datos por lo expuesto anteriormente. En las alegaciones a la propuesta de resolución se insiste en la ausencia de responsabilidad de AUDENASA porque, según manifiesta, actuó con la diligencia exigible que no podía alcanzar a “una conducta deliberadamente clandestina de uno de sus trabajadores”. En este procedimiento ha quedado acreditada la responsabilidad de la entidad denunciada respecto del tratamiento de los datos personales relativos a la salud de sus empleados que estaban registrados en un fichero de su sistema informático. Este fichero contenía datos relativos a la salud de los mismos con fechas de registro de los episodios desde 1991 la más antigua y hasta 2011 las más recientes. Por otra parte se ha acreditado también que el empleado a quien se responsabiliza de la autoría del fichero en el que se registraba de cada empleado su nombre, el año de la incidencia, los días de ausencia a que da lugar y el problema de salud que padece, ocupó el puesto de adjunto al Jefe de Personal desde el 1 de enero de 2008 hasta el 15 de octubre de 2011, siendo los registros de las incidencias anteriores en el tiempo a su desempeño en el puesto. Debe significarse que la resolución del presente procedimiento se sustancia frente al responsable del fichero de acuerdo con lo previsto en el artículo 43 de la LOPD quedando al margen del mismo las posibles medidas jurisdiccionales o de otra índole que pueda realizar frente al trabajador denunciante en el sentido que considere oportuno y aportando las pruebas de que disponga. Respecto de la prueba testifical propuesta en las alegaciones al acuerdo de inicio y que fue denegada en el acuerdo de práctica de prueba por innecesaria, la entidad denunciada ha manifestado que “La ausencia de la testifical propuesta impide la fijación de los hechos determinantes y, por tanto, invalida la resolución que en su día pudiera poner fin al procedimiento. Recuérdese que la presunción de validez de los actos administrativos desplaza la carga del recurso pero no la de prueba que le cumple satisfacerla a la Administración actuante, extremo que, en nuestro criterio, queda conculcado con decisiones como la que constituye el objeto de las presentes alegaciones.” A este respecto puede señalarse que no se aprecia que se produzca la alegada vulneración del derecho del presunto responsable ni se considera que exista un incumplimiento de la obligación de la práctica de la prueba propuesta. Por otra parte cabe recordar sobre esta cuestión, que el artículo 17.3 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la Potestad Sancionadora, dispone que se entiende por pruebas aquellas distintas de los documentos que los interesados puedan aportar en cualquier momento de la tramitación del procedimiento. En este caso concreto se ha denegado la práctica, por la propia Agencia de Protección de Datos, de la prueba propuesta por la entidad imputada, cuestión esta que no impide la presentación de cuantos documentos los interesados puedan aportar en cualquier momento de la tramitación del procedimiento y más tratándose de testimonios de responsables de la entidad tales como el Director de Administración, el Jefe de Administración y RR.HH, el Responsable de Informática y Control, y el Adjunto al Jefe de Personal. Por todo ello no se considera que se produzca la alegada vulneración toda vez que nada impide a la entidad imputada aportar en cualquier momento de la tramitación del procedimiento, los testimonios propuestos en sus alegaciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 Teniendo en cuenta todo lo expuesto, se considera que se ha vulnerado el principio del consentimiento para el tratamiento de los datos de salud de los trabajadores de la entidad Autopistas de Navarra S.A. que estaban incluidos en el fichero excell denominado Listado bajas.xls. (folios 13 a 21) V El artículo 44.4.
- c)de la LOPD considera infracción muy grave: “Recabar y tratar los datos de carácter personal a los que se refiere el apartado 2 del artículo 7 cuando no medie el consentimiento expreso del afectado; recabar y tratar los datos referidos en el apartado 3 del artículo 7 cuando no lo disponga una Ley o el afectado no haya consentido expresamente o violentar la prohibición contenida en el apartado 4 del artículo 7”. En este caso la entidad Autopistas de Navarra S.A. ha cometido la infracción descrita, toda vez que trató los datos de salud de sus trabajadores, sin contar con su consentimiento. VI El artículo 45 .3 .4 y .5 de la LOPD establece lo siguiente: “3. Las infracciones muy graves serán sancionadas con multa de 300.506,05 € a Según el artículo 45.3 de la LOPD, “las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros”. Los apartados 4 y 5 del mismo artículo establecen que: “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios: a. El carácter continuado de la infracción. b. El volumen de los tratamientos efectuados. c. La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal. d. El volumen de negocio o actividad del infractor. e. Los beneficios obtenidos como consecuencia de la comisión de la infracción. f. El grado de intencionalidad. g. La reincidencia por comisión de infracciones de la misma naturaleza. h. La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas. i. La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 j. Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: a. Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. b. Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. c. Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. d. Cuando el infractor haya reconocido espontáneamente su culpabilidad. e. Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” De conformidad con el análisis realizado se considera que se ha incurrido en la infracción muy grave descrita. Así, ha quedado acreditado que la entidad Autopistas de Navarra S.A. trató los datos relativos a la salud de sus trabajadores que estaban incluidos en el fichero excell denominado listado bajas.xls, sin contar con su consentimiento. (folios 13 a 21) El nuevo apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Atendidas las circunstancias del presente caso, no puede obviarse que en esta ocasión se considera que concurre lo previsto en el apartado b del artículo 45.5 porque se considera que se regularizó de forma diligente la situación irregular cuando, en este caso, se procedió a la eliminación del fichero en cuestión, lo que permite apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5 de la LOPD y establecer la sanción en la escala de infracciones que precede inmediatamente en gravedad a la aquí imputada, las infracciones graves. Por otra parte, el art. 45.4 recoge una serie de criterios relativos a la aplicación del principio de proporcionalidad en la graduación del importe de la sanción, según las indicaciones del art. 131.3 de la LRJPAC (Ley 30/92 de 26 de noviembre), que establece: “en la determinación normativa del régimen sancionador, así como en la imposición de sanciones por las Administraciones Públicas se deberá guardar la debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada, considerándose especialmente los siguientes criterios para la graduación de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 sanción a aplicar:
- a)la existencia de intencionalidad o reiteración,
- b)la naturaleza de los perjuicios causados,
- c)la reincidencia”. Pues bien la secuencia de hechos expuesta en esta resolución, valorada en aplicación de dichos criterios, permiten que en este caso se considere procedente la imposición de una sanción en la cuantía de 40.001 €.>> III La entidad recurrente centra su argumentación en la ausencia de responsabilidad por su parte al haberse producido una conducta deliberadamente clandestina de uno de sus trabajadores en la creación, bajo su absoluta responsabilidad, del fichero Excel denominado (“listadobajas.xlsx”), así como en que la AEPD funda su resolución en un criterio de responsabilidad objetiva de AUDENASA. En relación con esta alegación cabe argumentar lo que se indica a continuación. Consta en el expediente que el fichero fue creado el 28 de octubre de 2010 por el denunciante desde su puesto como adjunto al jefe de personal. Consta también que no se registraron datos posteriores al año en que el denunciante cesó en su puesto. No queda acreditado en el presente expediente que haya accedido ninguna persona diferente al denunciante, al fichero aquí cuestionado. Tras el cese del denunciante de su puesto como adjunto al Jefe de Personal, hay un único acceso al fichero. Resulta revelador que el denunciante únicamente cuestiona el fichero denunciado tras abandonar la empresa sin que conste que lo haya cuestionado mientras lo gestionaba y presuntamente creaba. Respecto de la culpabilidad, la Audiencia Nacional en su Sentencia de 24 de septiembre de 2010, recurso 767/2009, expresaba: “El principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, que está proscrita, después de la STC 76/1990, que señaló que los principios del ámbito del derecho penal son aplicables, con ciertos matices, en el ámbito administrativo sancionador, requiriéndose la existencia de dolo o culpa. En esta línea la STC 246/1991, de 19 de diciembre, señaló que la culpabilidad constituye un principio estructural básico del Derecho administrativo sancionador. Por eso, como señala la STS de 18 marzo 2005, recurso 7707/2000, es evidente, "que no podría estimarse cometida una infracción administrativa, si no concurriera el elemento subjetivo de la culpabilidad o lo que es igual, si la conducta típicamente constitutiva de infracción administrativa, no fuera imputable a dolo o a culpa". La infracción apreciada podría ser cometida tanto de forma dolosa como culposa, no apreciándose en este caso ninguna de las dos conductas en la entidad imputada. Resulta acreditada la creación del fichero en 2010 coincidente con el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 desempeño por el denunciante. Por todo ello se considera que no ha quedado acreditado con la certeza que exige la normativa sancionadora la concurrencia de culpabilidad en la vulneración de la LOPD, por lo que procede la estimación del presente recurso de reposición. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR el recurso de reposición interpuesto por AUTOPISTAS DE NAVARRA S.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 14 de febrero de 2014, en el procedimiento sancionador PS/00448/2013, indicando al sancionado que queda sin efecto la obligación de abonar la multa impuesta en la Resolución recurrida. SEGUNDO: NOTIFICAR la presente resolución a la entidad AUTOPISTAS DE NAVARRA S.A. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es