REPOSICION-TD-01882-2013

1/8 Procedimiento nº.: TD/01882/2013 ASUNTO: Recurso de Reposición Nº RR/00452/2014 Examinado el Recurso de Reposición interpuesto por Dña. A.A.A. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos, en el expediente TD/01882/2013, y en base a los siguientes, HECHOS PRIMERO: Con fecha 23 de abril de 2014, se dictó resolución por el Director de la Agencia Española de Protección de Datos, en el expediente TD/01882/2013, en la que se acordó estimar la reclamación de Tutela de Derechos formulada por Dña. A.A.A. contra la entidad TEBEX, SA. SEGUNDO: En el procedimiento que dio lugar a la Resolución impugnada se tuvieron por probados los siguientes hechos: PRIMERO: Con fecha 15 de octubre de 2013, Dña. A.A.A. (en lo sucesivo, la reclamante) ejerció el derecho de acceso a sus datos personales ante la entidad TEBEX, SA. SEGUNDO: En fecha 15 de octubre de 2013, la entidad TEBEX, SA contestó a la solicitud de la reclamante, informándole que para proceder al ejercicio de sus derechos sobre protección de datos debe dirigirse directamente a la entidad para la que está empleado SOCIEDAD ESTATAL DE CORREOS Y TELEGRAFOS, S.A., dado que la resolución de dichos derechos es competencia exclusiva de CORREOS, en virtud de la normativa sobre protección de datos, al resultar CORREOS la responsable del fichero de datos de su personal y dado que no existe autorización ni delegación a favor de TEBEX por parte de CORREOS para resolver su derecho, deberá elevarlo ante RRHH de CORREOS. TERCERO: Con fecha 8 de noviembre de 2013, Dña. A.A.A. formuló reclamación de Tutela de Derechos, ante esta Agencia, contra la entidad TEBEX, SA, por no haber sido debidamente atendido su derecho de acceso. CUARTO: Trasladadas sucesivamente la reclamación y los escritos de descargos que se produjeron en la tramitación del presente expediente, y por lo que a efectos de la resolución de esta reclamación interesa, se realizaron, en síntesis, las siguientes alegaciones:  Por parte de la entidad TEBEX, SA se pone de manifiesto que TEBEX como encargada del tratamiento de CORREOS accede a datos de los ahora reclamantes. No es responsable de los mismos ni puede resolver los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 derechos ARCO que éstos le hagan llegar. Que en los tres casos TEBEX comunicó a los afectados que contactasen con CORREOS a tal efecto. Que en aras a la brevedad administrativa-procedimental, TEBEX se remite a sus alegaciones del expediente TD/…../2013 a fin de reproducir sus argumentos jurídicos en los presentes procedimientos. Que se pone a disposición de la AEPD para mantener una reunión y así facilitar la información que se necesite sobre los hechos. Entienden que sí sobrevienen más casos de este tipo idéntico en el futuro por trabajadores de CORREOS, dicha reunión podría ser resolutoria tanto en tiempo pasado como previsora hacia futuro.  La reclamante alega que el día 16 de octubre de 2013, recibió un burofax remitido por TEBEX, SA, donde se le indicaba que como era empleada de la Sociedad Estatal Correos y Telégrafos S.A. debía solicitar el ejercicio del derecho de acceso ante la misma. TEBEX estaba reconociendo que disponía de un fichero donde trataba datos de carácter personal de la reclamante que le permitían conocer su vinculación laboral con la Sociedad Estatal Correos y Telégrafos, S.A. Que aduce la entidad TEBEX que no es titular de un fichero, que actúa en virtud de un contrato de servicios con Correos como Encargada del Tratamiento de los datos de salud de los trabajadores de esta entidad mercantil que se encuentran en situación de baja médica, y que ya se informó a la reclamante que debía ejercer su derecho de acceso ante Correos. Que en la citación por la que son convocados a reconocimiento médico los trabajadores de Correos no figura que los facultativos que van a efectuar el control de absentismo sean empleados de TEBEX y estos tampoco se identifican como tales, simulando ser miembros de los servicios médicos de Correos. Y que a pesar de las peticiones por escrito de la reclamante (se adjuntan dos) el médico que realiza los reconocimientos nunca se ha identificado como integrante de la plantilla de TEBEX (se adjunta una respuesta de dicho médico en la que no menciona a TEBEX). La reclamante solo ha podido obtener la información sobre el vínculo laboral con TEBEX del citado facultativo a través de un compañero, el funcionario….. Que el Jefe de Recursos Humanos de Correos de Zaragoza se ve obligado a reconocer que el doctor…. no forma parte de los servicios médicos de Correos y pertenece a la plantilla de TEBEX. También se constata, con la información facilitada por el mencionado facultativo que sí emite informe médico y también diagnóstico médico. Que en otro informe, el citado facultativo declara, en relación al reconocimiento médico efectuado a la reclamante, “es habitual en los trabajadores afiliados al sindicato del mencionado delegado, no autorizar a los Servicios Médicos a guardar en su Historia Médica, datos obtenidos tras la exploración, así como copias de informes, pruebas, etc., tal como es lógico en el día a día de cualquier consulta médica” (se adjunta copia de dicho documento). Que dicho informe desmiente lo manifestado por el representante legal de TEBEX cuando declara que la mercantil no es prestataria de servicios sanitarios a los trabajadores de Correos, limitándose a emitir una opinión C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 pericial, sin elaborar diagnóstico médico ni documentación clínica. Que también se constata que se recaban y tratan datos sobre afiliación sindical de los trabajadores de Correos sin que los afectados hayan prestado su consentimiento. Que el representante legal de TEBEX solicita una reunión en la sede de la AEPD. Resulta cuando menos anómala y extraña la petición, porque ha podido efectuar en sus alegaciones las consideraciones que ha considerado oportunas y si disponía de otras informaciones que por propia voluntad no ha querido aportar en tiempo y forma, no procede ahora apartarse del procedimiento. Y que la pretensión de que dicha reunión sea resolutoria en tiempo pasado como previsora hacia el futuro, vulnera el principio de legalidad. QUINTO: Son conocidos por las partes de forma completa todos los hechos, alegaciones y demás documentación aportada por los interesados para su defensa, al haberse dado traslado por la instrucción del expediente a cada uno de los interesados en este procedimiento y constado todo ello en el expediente que obra en esta Agencia Española de Protección de Datos. TERCERO: La resolución ahora recurrida fue notificada fehacientemente a Dña. A.A.A. el 5 de mayo de 2014, según consta en el acuse de recibo emitido por el Servicio de Correos. Por la parte recurrente se ha presentado Recurso de Reposición en fecha 4 de junio de 2014, con entrada en esta Agencia el 10 de junio de 2014, en el que señala, en síntesis, que:  Existe contradicción entre lo expuesto en la resolución aquí recurrida y la Sentencia de la Sala de lo Contencioso Administrativo de la Audiencia Nacional de 10 de mayo de 2002, básicamente en el sentido de que la entidad reclamada no presta ninguna asistencia sanitaria de las descritas en el artículo 7.6 de la LOPD, que excluye el requisito de contar con el consentimiento expreso del afectado para el tratamiento de datos de salud.  Nos encontramos ante un control de absentismo que necesita del consentimiento de los afectados para recabar y tratar sus datos de salud.  La resolución recurrida se limita a dar por válido lo manifestado por dicha entidad mercantil y no se ha realizado ninguna comprobación ni labor inspectora, ni exigido ningún tipo de prueba sobre la veracidad de dichas afirmaciones. Se ha ignorado los elementos de prueba aportados por la recurrente. Entiende que esta actuación genera indefensión y trato injusto, vulnerando los principios de igualdad y contradicción que deben imperar cualquier procedimiento administrativo. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 PRIMERO: Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). SEGUNDO: En la Resolución ahora impugnada ya se advertía suficientemente sobre el alcance de las normas contenidas en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), y en el Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre. En base a estas normas y en consideración a los hechos tenidos por probados, se determinó que: NOVENO: En el supuesto examinado, ha quedado acreditado que la reclamante ejercitó el derecho de acceso a sus datos personales ante la entidad reclamada, y que, dentro del plazo establecido conforme a las normas antes señaladas, su solicitud obtuvo respuesta por parte de la entidad encargada del tratamiento, pero no consta que dicha entidad haya dado traslado, como establece el artículo 26 del Reglamento de la LOPD, al responsable del fichero de la solicitud de acceso, a fin de que por el mismo se resuelva, sino que, en dicha comunicación, se le informa que debe dirigirse directamente al responsable del fichero. En ningún momento la entidad reclamada, como encargada del tratamiento acredita en el presente caso, el traslado de la reclamación al responsable del fichero. Por tanto, no adoptó las medidas oportunas para que se atendiera el derecho de acceso solicitado. A tenor de las definiciones de responsable del fichero o tratamiento y encargado del tratamiento recogidas en el artículo 3 de la LOPD, apartados d) y g), anteriormente citados, se desprende que en este caso, la entidad TEBEX, SA actúa como encargada del tratamiento y CORREOS es la responsable del fichero. A este respecto conviene traer a colación el artículo 20 del Reglamento de la LOPD, que regula las relaciones entre el responsable del fichero y el encargado del tratamiento, establece que el acceso a los datos por parte de un encargado del tratamiento que resulte necesario para la prestación de un servicio al responsable no se considerará comunicación de datos y que el servicio prestado por el encargado del tratamiento podrá tener o no carácter remunerado y ser temporal o indefinido. Y el artículo 12 de la LOPD, sobre acceso a los datos por cuenta de terceros, establece que: “

1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento.
2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato (…).” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 Por otra parte, el Reglamento de la LOPD, en su artículo 5 define como responsable del fichero a aquella persona física o jurídica, de naturaleza pública o privada, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Asimismo, define encargado del tratamiento como la persona física o jurídica, pública o privada, que trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio. En cuanto a que no ha sido recabado su consentimiento para el tratamiento de sus datos de salud por parte de las entidades reclamadas, el artículo 8 de la LOPD, que se refiere a los datos relativos a la salud, dice que: “…las instituciones y los centros sanitarios públicos y privados y los profesionales correspondientes podrán proceder al tratamiento de los datos de carácter personal relativos a la salud de las personas que a ellos acudan o hayan de ser tratados en los mismos, de acuerdo con lo dispuesto en la legislación estatal o autonómica sobre sanidad”. Esto es, si la reclamante accede a ser tratada por el facultativo o centro médico al que lo deriva Correos, para la finalidad de valorar o verificar si la baja es justificada o no, está consintiendo expresamente para que sus datos sean tratados. Por lo que se cumple a su vez con lo establecido en el artículo 7.3 de la LOPD. El resto de cuestiones planteadas por las partes no resultan de la competencia de esta Agencia, debiéndose dirimir y resolver por las instancias correspondientes. Finalmente, es preciso señalar que la entidad en sus alegaciones remite a otro expediente de esta Agencia, a fin de reproducir sus argumentos jurídicos en este procedimiento. Pues bien, no es posible dar traslado a la reclamante, en el trámite de audiencia, de dichas alegaciones, ya que estaríamos incumpliendo la protección de los datos de la persona a la que se refiere dicho expediente de Tutela de Derechos. Debido a ello, solamente se han tomado en consideración para la resolución de este procedimiento, las alegaciones presentadas al mismo. Por todo ello, procede estimar la presente reclamación de Tutela de Derechos. TERCERO: Antes de entrar en el fondo de las cuestiones planteadas en el presente recurso, hay que señalar que el procedimiento de Tutela de Derechos se instruye como consecuencia de la denegación de alguno de los derechos regulados por la normativa de protección de datos (acceso, rectificación, cancelación y oposición). Por ello, en el presente caso, sólo serán analizadas y valoradas aquellas cuestiones planteadas por la recurrente que queden incluidas dentro del objeto del citado procedimiento de Tutela de Derechos. Como consta en el Fundamente anterior, se determinó estimar. la reclamación presentada por la recurrente, al objeto de que la entidad reclamada, como encargada del tratamiento, procediera a dar traslado al responsable del fichero de la solicitud de acceso presentada ante ella por la reclamante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 Y con fecha 8 de mayo de 2014, la entidad TEBEX, SA acredita ante esta Agencia el cumplimiento de la Resolución recurrida. La recurrente alega que existe un fichero en el que constan datos relativos a su persona propiedad de TEBEX debido a que cuando solicitó el acceso dicha entidad estableció su vinculación laboral con CORREOS, dirigiéndose a esta para que solicitara el acceso. A este respecto, cabe señalar que TEBEX firmó un contrato de prestación de servicios con CORREOS, por lo que actúa como encargado del tratamiento, por tanto, pudiendo comprobar en los ficheros de CORREOS los datos de base de la reclamante y establecer así su relación laboral con la misma. En consecuencia, la recurrente ejercitó el derecho de acceso a sus datos personales ante la entidad reclamada, que le informó que debía dirigirse a CORREOS que es el responsable del fichero. Sin embargo, dicha entidad no dio traslado de la solicitud de acceso a CORREOS, como establece el artículo 26 del Reglamento de la LOPD, motivo por el que es estimada la reclamación de Tutela de Derechos. Una vez dictada la Resolución correspondiente, la entidad acredita ante esta Agencia su cumplimiento. CUARTO: Al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” La Sentencia del Tribunal Constitucional de 20/02/1989 indica que “Nuestra doctrina y jurisprudencia penal han venido sosteniendo que, aunque ambos puedan considerarse como manifestaciones de un genérico favor rei, existe una diferencia sustancial entre el derecho a la presunción de inocencia, que desenvuelve su eficacia cuando existe una falta absoluta de pruebas o cuando las practicadas no reúnen las garantías procesales y el principio jurisprudencial in dubio pro reo que pertenece al momento de la valoración o apreciación probatoria, y que ha de juzgar cuando, concurre aquella actividad probatoria indispensable, exista una duda racional sobre la real concurrencia de los elementos objetivos y subjetivos que integran el tipo penal de que se trate.” Asimismo, se debe tener en cuenta, en relación con el principio de presunción de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 inocencia lo que establece el art. 137 de LRJPAC: “
3. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” En cuanto a las pruebas aportadas por la recurrente, se ha de manifestar que no acreditan la inclusión de sus datos de carácter personal en los ficheros de la entidad reclamada. QUINTO: No obstante, al objeto de analizar la naturaleza como encargado del tratamiento de TEBEX, se procede a la apertura de un expediente de investigación previa, el E/04732/2015, en el marco del cual se evaluará la eventual existencia de infracciones a la legislación en materia de protección de datos. A la vista de lo expuesto, dado que la recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, procede desestimar el presente Recurso de Reposición, al haber quedado acreditado que la entidad reclamada atendió, una vez dictada la Resolución de la Tutela de Derechos, la solicitud de acceso recibida. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el Recurso de Reposición interpuesto por Dña. A.A.A. contra la Resolución de esta Agencia Española de Protección de Datos, dictada con fecha 23 de abril de 2014, en el expediente TD/01882/2013, que estima la reclamación de Tutela de Derechos formulada por la misma contra la entidad TEBEX, SA. SEGUNDO: NOTIFICAR la presente resolución a Dña. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es