1/7 Expediente Nº: TD/00263/2020 RESOLUCIÓN Nº: R/00214/2021 Vista la reclamación formulada el 18 de agosto de 2020 ante esta Agencia por D. A.A.A., contra ADEVINTA SPAIN, S.L., por no haber sido debidamente atendido su derecho de acceso. Realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: Con fecha 27 de junio de 2020, D. A.A.A. (en adelante, la parte reclamante) ejerció derecho de acceso frente a ADEVINTA SPAIN, S.L. con NIF B83411652 (en adelante, la reclamada), sin que su solicitud haya recibido la contestación legalmente establecida. La parte reclamante aporta diversa documentación relativa a la reclamación planteada ante esta Agencia y sobre el ejercicio del derecho ejercitado, manifiesta que, participó en un procedimiento de selección de personal en InfoJobs y les solicitó, el acceso a la valoración efectuada a su CV por la empresa que había ofertado el puesto de trabajo, ya que desconocía la entidad que convocaba el puesto, asimismo señala que, dado el carácter anónimo de la empresa ofertante, no puede ejercer su derecho de acceso ante la empresa que trató sus datos, porque la reclamada no se los facilita. SEGUNDO: De conformidad con el artículo 65.4 de la LOPDGDD, que ha previsto un mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante la AEPD, consistente en trasladarlas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, a los efectos previstos en el artículo 37 de la citada norma, o a éstos cuando no los hubieren designado, se dio traslado de la reclamación a la entidad reclamada para que procediese a su análisis y diera respuesta a La parte reclamante y a esta Agencia en el plazo de un mes. En síntesis, la reclamada formuló las siguientes alegaciones, no participan en el proceso de selección ni en la valoración de candidaturas y que no solicita esa información en ningún caso. Que las ofertas publicadas con "perfil ciego" de la empresa, la política de protección de datos informa explícitamente al usuario sobre este punto. Que la empresa en cuestión no pode incorporar el CV a su base de datos ni extraer los mismos del sistema, por lo que no hubo comunicación de datos, y no hay posibilidad de solicitar ningún derecho de acceso a terceras partes. Que es Infojobs quien se hace responsable de la información, la custodia y facilita a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 sus usuarios el ejercicio de sus derechos, y no realiza ninguna comunicación sin su consentimiento explícito (cuando las ofertas de empleo así lo requieren). Dentro de este marco de actuación, las empresas cliente que utilizan Infojobs para reclutar, sólo tienen acceso temporal a los datos de los candidatos, pero no tienen ningún derecho de extraer esa información ni procesarla en otros sistemas, ni por supuesto pueden utilizar la información para otras finalidades distintas de las relacionadas con el proceso de selección. Al ser los datos personales del afectado relacionados con dicha candidatura única y exclusivamente responsabilidad de Infojobs, por lo que no hay posibilidad de solicitar el ejercicio de derechos a ninguna otra entidad, tal y cómo el candidato solicitaba Que no almacena ninguna información relacionada con la valoración subjetiva del candidato y su proceso de selección por parte de las empresas clientes tal y como reclama el afectado. TERCERO: El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, a los efectos previstos en su artículo 64.2 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada y se concedió a la entidad reclamada trámite de audiencia, para que en el plazo de quince días hábiles presentase las alegaciones que estimara convenientes. En síntesis, la reclamada formuló las siguientes alegaciones, que la oferta se procesaba directamente por la reclamada y no en la base de datos de la empresa cliente, hay que diferenciar los dos tipos de inscripciones a ofertas de empleo que existen, en la que afecta a la parte reclamante, todo proceso de selección se gestiona dentro del entorno de Infojobs, el otro caso, que es el que hace mención el reclamante pero no aplicable a su caso, el proceso de selección se gestiona fuera del entorno de Infojobs, permitiéndose al cliente almacenar en sus propios sistemas los datos del candidato. Que ambos tipos de inscripciones tienen características distintas. Que el uso del servicio que se establecen en estos casos la obligación del cliente de usar los datos de los candidatos que se inscriben a sus ofertas únicamente para gestionar ese proceso de selección en concreto y siempre dentro del entorno de la reclamada y una vez cerrado el proceso de selección, el cliente no está autorizado a usar dichos datos para otros procesos de selección ni a conservar ningún tipo de dato de dichas candidaturas. Por lo tanto, y dado que las empresas cliente únicamente pueden visualizar temporalmente los datos de los candidatos, pero no extraerlos ni procesarlos en otros sistemas, no deberían existir datos del candidato sobre dicho proceso de selección en ninguna otra plataforma o sistema. Que la reclamada es la única responsable de los datos y estos no deben encontrarse en otros sistemas que no sean de la plataforma Infojobs. Por tanto, cualquier derecho de acceso a sus datos personales relacionados con este proceso de selección debe ser atendido exclusivamente por la reclamada. Que se informó a la parte reclamante, que la valoración que hizo la empresa sobre su candidatura no existen, ni es un dato que la plataforma procese ni almacene. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 Que las empresas cliente de Infojobs pueden visualizar los datos del candidato, y pueden avanzarlo en el proceso de selección o descartarlo, pero no introducir datos relativos a la valoración de la candidatura. Por lo que no es posible satisfacer la petición del usuario ni facilitarle datos que no se han recibido ni almacenados. Que se desde el área de privacidad del usuario, está implementado de manera automatizada poder extraer sus datos personales disponible en el portal y los datos de terceros que pudieran intervenir como encargados del tratamiento de los datos, e incorpora toda la información en un único fichero. Que las valoraciones de los reclutadores no existen en la plataforma y no debería existir en ninguna otra por cuanto el cliente, atendiendo a las condiciones de uso, no debería almacenar datos de los candidatos fuera del entorno. No obstante, se puede extraer información relativa a la identidad de la empresa en el caso de haberse inscrito en una oferta de “perfil ciego” y en caso de ser de interés del reclamante, se puede asistirle para que pueda dirigirse directamente a la empresa para solicitar confirmación al respecto del tratamiento o no de sus datos personales. No obstante, es importante remarcar que dicha empresa no debería conservar almacenado ningún dato específico de los candidatos, ni valoraciones. CUARTO: Examinadas las alegaciones presentadas por la reclamada, son objeto de traslado a la parte reclamante, para que, en el plazo de quince días hábiles formule alegaciones que considere oportunas. Con fecha 11/01/2021, ésta Agencia a través del Soporte del Servicio de Notificaciones Electrónicas y Dirección Habilitada (plataforma Notific@), puso a disposición de la parte reclamante dicha alegaciones, y con fecha 22/01/2021 el sistema procede al rechazo automático de la notificación por haber transcurrido diez días naturales desde la puesta a disposición de esta sin que se acceda a su contenido. FUNDAMENTOS DE DERECHO PRIMERO: Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el apartado 2 del artículo 56 en relación con el apartado 1
- f)del artículo 57, ambos del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD); y en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). SEGUNDO: De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de las mismas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Del mismo modo, el ordenamiento jurídico interno, en el artículo 65.4 la LOPDGDD, ha previsto un mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante la Agencia Española de Protección de Datos, que consiste en dar traslado de las mismas a los delegados de protección de datos designados por los responsables o encargados del tratamiento, a los efectos previstos en el artículo 37 de la citada norma, o a éstos cuando no los hubieren designado, para que procedan al análisis de dichas reclamaciones y a darles respuesta en el plazo de un mes. De conformidad con esta normativa, con carácter previo a la admisión a trámite de la reclamación que da lugar al presente procedimiento, se dio traslado de la misma a la entidad responsable para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida, en el supuesto de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD. El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 3 de diciembre de 2020, a los efectos previstos en su artículo 64.2 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada. Dicho acuerdo de admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “1. Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo siguiente. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. No se estima oportuna la depuración de responsabilidades administrativas en el marco de un procedimiento sancionador, cuyo carácter excepcional implica que se opte, siempre que sea posible, por la prevalencia de mecanismos alternativos que tengan amparo en la normativa vigente. Es competencia exclusiva de esta Agencia valorar si existen responsabilidades administrativas que deban ser depuradas en un procedimiento sancionador y, en consecuencia, la decisión sobre su apertura, no existiendo obligación de iniciar un procedimiento ante cualquier petición realizada por un tercero. Tal decisión ha de basarse en la existencia de elementos que justifiquen dicho inicio de la actividad sancionadora, circunstancias que no concurren en el presente caso, considerando que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 con el presente procedimiento quedan debidamente restauradas las garantías y derechos del reclamante. TERCERO: Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. CUARTO: El artículo 15 del RGPD dispone que: “1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
- a)los fines del tratamiento;
- b)las categorías de datos personales de que se trate;
- c)los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros u organizaciones internacionales;
- d)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
- e)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
- f)el derecho a presentar una reclamación ante una autoridad de control;
- g)cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
- h)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 2. Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia. 3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común. 4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros.” QUINTO: Una vez examinada la documentación obrante en el procedimiento, se comprueba que la respuesta a la solicitud de acceso es incompleta. No se le informa a la parte reclamante a quien se comunicaron sus datos personales. Antes de entrar en el fondo de las cuestiones aquí planteadas, cabe señalar que, el art. 4.2 del RGPD define tratamiento, como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El 12.5 del RGPD dispone que, “La información facilitada en virtud de los artículos 13 y 14 así como toda comunicación y cualquier actuación realizada en virtud de los artículos 15 a 22 y 34 serán a título gratuito. […]” El ejercicio del derecho de acceso, al igual que el resto de los derechos, es un derecho personalísimo, consiste en el derecho que tiene el ciudadano a obtener información sobre el tratamiento que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos personales que le conciernan y que estén siendo objeto de tratamiento, así como información, en particular, sobre los fines del tratamiento, las categorías de datos, los destinatarios, las posibles comunicaciones, el plazo previsto de conservación, la posibilidad de ejercitar otros derechos, la información disponible sobre el origen de los datos (si estos no se han obtenido directamente de titular) o la existencia de decisiones automatizadas, incluida la elaboración de perfiles, sin que afecte a datos de terceros. Dicho lo anterior, se entiende como comunicación de datos, cualquier mecanismo que proporcione el acceso a los datos de un fichero a un tercero interesado, por lo tanto, el responsable está obligado a comunicar al interesado sobre el tratamiento y sobre a quién se han comunicado sus datos personales, así como la información relacionada con él. Dado que, el acceso a los datos personales de la parte reclamante es incompleto, procede estimar la reclamación que originó el presente procedimiento y facilitar el acceso solicitado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 El resto de las cuestiones planteadas por las partes, no resultan de la competencia de esta Agencia, debiéndose dirimir y resolver por las instancias correspondientes. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por D. A.A.A. e instar a ADEVINTA SPAIN, S.L. con NIF B83411652, para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita a la parte reclamante certificación en la que haga constar que ha atendido el derecho de acceso ejercido, de conformidad con lo establecido en el cuerpo de la presente resolución. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de la infracción considerada en el artículo 72.1.
- m)de la LOPDGDD, que se sancionará, de acuerdo con el art. 58.2 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A. y a ADEVINTA SPAIN, S.L.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1034-080719 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es