1/7 Procedimiento: TD/01045/2016 RESOLUCIÓN Nº: R/02562/2016 Vista la reclamación formulada el 21 de abril de 2016, ante esta Agencia, por D. A.A.A., contra la ADMINISTRACIÓN CONCURSAL DE FUNDICIÓN NODULAR S.A., por no haber sido debidamente atendido su derecho de acceso. Realizadas las actuaciones procedimentales previstas en el artículo 117 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, se han constatado los siguientes, HECHOS PRIMERO: Con fecha 4 de marzo de 2016, D. A.A.A. (en lo sucesivo, el reclamante) ejercitó el derecho de acceso a sus datos personales ante la ADMINISTRACIÓN CONCURSAL DE FUNDICIÓN NODULAR S.A., sin que su solicitud haya recibido la contestación legalmente establecida. SEGUNDO: En fecha 6 de abril de 2016, la ADMINISTRACIÓN CONCURSAL DE FUNDICIÓN NODULAR S.A. contestó a la solicitud del reclamante, informándole del tipo de datos (DNI, dirección, fecha de nacimiento, titulaciones, puesto de trabajo, etc.) que habían detectado en los sistemas de información de la FUNDICIÓN NODULAR, S.A., que forman parte del fichero Recursos Humanos. TERCERO: Con fecha 21 de abril de 2016, D. A.A.A. formuló reclamación de Tutela de Derechos, ante esta Agencia, contra la ADMINISTRACIÓN CONCURSAL DE FUNDICIÓN NODULAR S.A., por no haber sido debidamente atendido su derecho de acceso. CUARTO: Trasladadas sucesivamente la reclamación y los escritos de descargos que se produjeron en la tramitación de este expediente, y por lo que a efectos de la resolución de la presente reclamación interesa, se realizaron, en síntesis, las siguientes alegaciones: • Por parte de la ADMINISTRACIÓN CONCURSAL DE FUNDICIÓN NODULAR S.A. se pone de manifiesto que en el escrito de denuncia no se indica el motivo por el que el interesado califica como no satisfactoria la contestación al ejercicio del derecho de acceso remitida. Que los equipos informáticos en los que se contenían los datos personales del ex trabajador se encuentran desconectados y con graves problemas de arranque. Pese a ello, con el objeto de dar respuesta a la solicitud de acceso e informar al interesado sobre el tipo de datos relativos a su persona almacenados en los equipos pertenecientes a FUNDICIÓN NODULAR, S.A. se procedió a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 conexión y arranque de los mismos. En la actualidad no es posible para la Administración Concursal el acceso al contenido de las aplicaciones instaladas en dichos sistemas, por no disponer de los medios necesarios para ello, puesto que el acceso a las aplicaciones requeriría de una nueva contratación de la empresa de software, y ello siempre que fuera posible en el estado actual de los sistemas; siendo únicamente posible a la fecha de la solicitud efectuada realizar una búsqueda general de contenidos en los servidores que puedan incluir información personal relacionada con el solicitante. Que en el ánimo siempre ha estado facilitar el ejercicio del derecho de acceso ejercitado por el reclamante, si bien dadas las circunstancias expuestas, ha sido enormemente dificultoso localizar información entre los datos almacenados y diferenciar cuales están actualizados y cuales son obsoletos, lo que conllevó que la respuesta que se dio, se refiriera a los tipos de datos encontrados en dicha búsqueda, así como a los declarados en el fichero perteneciente a la entidad, pero sin concretar su contenido, ya que, al no hacer uso la Administración Concursal de estos datos personales, desconoce el detalle de los mismos y el modo en que eran tratados y ordenados cuando la entidad estaba en activo. No obstante, teniendo en cuenta la disconformidad manifestada por el solicitante y en aras a especificar lo máximo posible los datos personales del interesado existentes en los sistemas, señalan que tanto en la nómina de diciembre de 2012 del solicitante como del certificado de retenciones de 2012 (últimos documentos que constan en relación a dicho trabajador y que fueron elaborados con los datos que del mismo obraban en la aplicación que la concursada empleaba para la elaboración de nóminas, impuestos y seguros sociales), se habría empleado la información personal del solicitante con los datos más actualizados que del mismo constasen en los programas de la compañía, por lo que acompañan copias de dichos documentos. Desconociéndose si en las aplicaciones de recursos humanos pudiera haber más datos personales relativos al interesado, que, en cualquier caso son, a día de hoy, inaccesibles para la Administración Concursal. En cuanto al resto de información solicitada, la misma no puede ser facilitada, tanto por la imposibilidad técnica, como por exceder su contenido del ámbito de los derechos reconocidos en la legislación vigente, pudiendo afectar a la confidencialidad de datos personales de terceros. Los datos personales contenidos en los ficheros responsabilidad de FUNDICIÓN NODULAR, S.A. no están siendo objeto de tratamiento ordinario y los se conservan únicamente a disposición de la autoridad judicial, con el objeto de dar cumplimiento a las instrucciones que al respecto pudieran recibirse de la misma. Desde el punto de vista de la vigente regulación en materia de protección de datos, los datos personales contenidos en los ficheros responsabilidad de FUNDACIÓN NODULAR, S.A. pueden considerarse cancelados, permaneciendo debidamente bloqueados. • El reclamante alega que se puede calificar el acceso de no satisfactorio, al no haberse cumplido el fondo, puesto que no se dio respuesta al contenido del derecho de acceso, habiéndose dado respuesta del contenido de los ficheros inscritos en el Registro General de Protección de Datos, al cual se puede acceder de manera pública y gratuita, sin necesidad de ejercer requerimiento al Administrador Concursal. Que considera no concedido su derecho, por falta de traslado de la información, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 al haberse solicitado de manera explícita y clara, información concreta requerida, y que es ignorado por el Administrador Concursal. Que consta en el procedimiento mercantil presentación de información contenida en equipos servidores de la concursada, sin haberse detectado problema alguno para su puesta a disposición. Que se puede considerar la imposibilidad de dar respuesta, sobre la base de haber requerido la Administración Concursal, en fecha 12 de abril de 2016 (tras el ejercicio de su derecho de acceso ante el mismo), el borrado de los equipos informáticos y habiéndose autorizado por el Juzgado de lo Mercantil, mediante Auto de 15 de junio de 2016 (tras recibir oficio de la AEPD iniciando procedimiento de tutela y no constando en el Auto comunicación alguna sobre este oficio), sin considerar los plazos de prescripción establecidos en las leyes, o los derechos de los implicados en el procedimiento mercantil. Que los datos se mantienen en tratamiento dentro del propio procedimiento mercantil, y a fecha de ejercicio del derecho eran necesarios y eran tratados por el Administrador. FUNDAMENTOS DE DERECHO PRIMERO: Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). SEGUNDO: El artículo 18.1 de la LOPD, señala que: “Las actuaciones contrarias a lo dispuesto en la presente Ley pueden ser objeto de reclamación por los afectados ante la Agencia Española de Protección de Datos, en la forma que reglamentariamente se determine”. TERCERO: El artículo 15 de la LOPD, dispone: “1. El interesado tendrá derecho a solicitar y obtener gratuitamente información de sus datos de carácter personal sometidos a tratamiento, el origen de dichos datos, así como las comunicaciones realizadas o que se prevén hacer de los mismos. 2. La información podrá obtenerse mediante la mera consulta de los datos por medio de su visualización, o la indicación de los datos que son objeto de tratamiento mediante escrito, copia, telecopia o fotocopia, certificada o no, en forma legible e inteligible, sin utilizar claves o códigos que requieran el uso de dispositivos mecánicos específicos. 3. El derecho de acceso a que se refiere este artículo sólo podrá ser ejercitado a intervalos no inferiores a doce meses, salvo que el interesado acredite un interés legítimo al efecto, en cuyo caso podrán ejercitarlo antes. ” CUARTO: El artículo 27 del Reglamento de la LOPD, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, regula el derecho de acceso en los siguientes términos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 "1. El derecho de acceso es el derecho del afectado a obtener información sobre si sus propios datos de carácter personal están siendo objeto de tratamiento, la finalidad del tratamiento que, en su caso, se está realizando, así como la información disponible sobre el origen de dichos datos y las comunicaciones realizadas o previstas de los mismos. 2. En virtud del derecho de acceso el afectado podrá obtener del responsable del tratamiento información relativa a datos concretos, a datos incluidos en un determinado fichero, o a la totalidad de sus datos sometidos a tratamiento. No obstante, cuando razones de especial complejidad lo justifiquen, el responsable del fichero podrá solicitar del afectado la especificación de los ficheros respecto de los cuales quiera ejercitar el derecho de acceso, a cuyo efecto deberá facilitarle una realización una relación de todos ellos. 3. El derecho de acceso es independiente del que otorgan a los afectados las leyes especiales y en particular la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común." QUINTO: El artículo 25 del Reglamento de la LOPD, establece: “1. Salvo en el supuesto referido en el párrafo 4 del artículo anterior, el ejercicio de los derechos deberá llevarse a cabo mediante comunicación dirigida al responsable del fichero, que contendrá:
- a)Nombre y apellidos del interesado; fotocopia de su documento nacional de identidad, o de su pasaporte u otro documento válido que lo identifique y, en su caso, de la persona que lo represente, o instrumentos electrónicos equivalentes; así como el documento o instrumento electrónico acreditativo de tal representación. La utilización de firma electrónica identificativa del afectado eximirá de la presentación de las fotocopias del DNI o documento equivalente. El párrafo anterior se entenderá sin perjuicio de la normativa específica aplicable a la comprobación de datos de identidad por las Administraciones Públicas en los procedimientos administrativos.
- b)Petición en que se concreta la solicitud.
- c)Dirección a efectos de notificaciones, fecha y firma del solicitante.
- d)Documentos acreditativos de la petición que formula, en su caso. 2. El responsable del tratamiento deberá contestar la solicitud que se le dirija en todo caso, con independencia de que figuren o no datos personales del afectado en sus ficheros. 3. En el caso de que la solicitud no reúna los requisitos especificados en el apartado primero, el responsable del fichero deberá solicitar la subsanación de los mismos. 4. La respuesta deberá ser conforme con los requisitos previstos para cada caso en el presente título. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 5. Corresponderá al responsable del tratamiento la prueba del cumplimiento del deber de respuesta al que se refiere el apartado 2, debiendo conservar la acreditación del cumplimiento del mencionado deber…” SEXTO: El artículo 29 del Reglamento de la LOPD, dispone lo siguiente: “1. El responsable del fichero resolverá sobre la solicitud de acceso en el plazo máximo de un mes a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición de acceso, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre. En el caso de que no disponga de datos de carácter personal de los afectados deberá igualmente comunicárselo en el mismo plazo. 2. Si la solicitud fuera estimada y el responsable no acompañase a su comunicación la información a la que se refiere el artículo 27.1, el acceso se hará efectivo durante los diez días siguientes a dicha comunicación. 3. La información que se proporcione, cualquiera que sea el soporte en que fuere facilitada, se dará en forma legible e inteligible, sin utilizar claves o códigos que requieran el uso de dispositivos mecánicos específicos. Dicha información comprenderá todos los datos de base del afectado, los resultantes de cualquier elaboración o proceso informático, así como la información disponible sobre el origen de los datos, los cesionarios de los mismos y la especificación de los concretos usos y finalidades para los que se almacenaron los datos". SÉPTIMO: En el supuesto aquí analizado, ha quedado acreditado que el reclamante ejercitó su derecho de acceso ante la entidad demandada, y que, trascurrido el plazo establecido conforme a las normas antes señaladas, su solicitud no obtuvo la respuesta legalmente exigible, ya que el acceso concedido se produjo de manera incompleta, al no aportarse por la entidad reclamada: • Los datos de base del afectado (datos concretos y específicos) y los resultantes de cualquier elaboración o proceso informático. Por otra parte, la Administración Concursal no fundamenta, en sus alegaciones, la denegación del acceso, en ninguno de los motivos que contempla el artículo 30 del Reglamento de la LOPD, que dispone: “1. El responsable del fichero o tratamiento podrá denegar el acceso a los datos de carácter personal cuando el derecho ya se haya ejercitado en los doce meses anteriores a la solicitud, salvo que se acredite un interés legítimo al efecto. 2. Podrá también denegarse el acceso en los supuestos en que así lo prevea una Ley o una norma de derecho comunitario de aplicación directa o cuando éstas impidan al responsable del tratamiento revelar a los afectados el tratamiento de los datos a los que se refiera el acceso.” Finalmente, en relación a la solicitud que efectúa el reclamante dentro del ejercicio del derecho de acceso, relativa a que de los sistemas de información existentes de la entidad, interesa conocer de manera completa el acceso existente a los ficheros C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 automatizados del equipo servidor de correo electrónico EXCHANGE de FUNDICIÓN NODULAR, S.A. En concreto se solicita acceso al informe de auditoría registro de acceso a objetos así como detalle de registro de LOG, desde que es declarado Administrador Concursal, Log de sistema, Log de aplicación, seguridad, sistema y Exchange, en cuanto afecte al buzón/cuenta de correo electrónico xxxxx@nodular.com, cuyo acceso debe resultar justificado por ADMINISTRACIÓN CONCURSAL DE FUNDICIÓN NODULAR, S.A. Pues bien, esta solicitud no se corresponde con el derecho de acceso a datos personales que contempla la LOPD, por lo que quedaría excluida de la competencia de esta Agencia. A la vista de lo expuesto, procede estimar la presente reclamación de Tutela de Derechos. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por D. A.A.A. e instar a la ADMINISTRACIÓN CONCURSAL DE FUNDICIÓN NODULAR S.A. para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita al reclamante certificación en la que se facilite el acceso completo a sus datos, o deniegue motivada y fundadamente el acceso solicitado, pudiendo incurrir en su defecto en una de las infracciones previstas en el artículo 44 de la LOPD. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A. y a la ADMINISTRACIÓN CONCURSAL DE FUNDICIÓN NODULAR S.A. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de Desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 18.4 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos, en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la Disposición Adicional C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción ContenciosoAdministrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es