Resolución de la Agencia Española de Protección de Datos E-05180-2019 de 02 de agosto de 2019
Resoluciones
Resolución de la Agencia ...to de 2019

Última revisión

Resolución de la Agencia Española de Protección de Datos E-05180-2019 de 02 de agosto de 2019

Tiempo de lectura: 18 min

Relacionados:

Órgano: Agencia Española de Protección de Datos

Fecha: 02/08/2019

Num. Resolución: E-05180-2019

Tiempo de lectura: 18 min


Cuestión

Sector:

1 / 8

Expediente Nº: E/05180/2019

RESOLUCIÓN DE ARCHIVO DE ACTUACIONES

De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la

entidad MIJAS SERVICIOS COMPLEMENTARIOS S.L. en virtud de denuncia presentada por

A.A.A. y teniendo como base los siguientes

HECHOS...

Contestacion

1/8

Expediente Nº: E/05180/2019

RESOLUCIÓN DE ARCHIVO DE ACTUACIONES

De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la

entidad MIJAS SERVICIOS COMPLEMENTARIOS S.L. en virtud de denuncia presentada por

A.A.A. y teniendo como base los siguientes

HECHOS

PRIMERO: Con fecha 19 de septiembre de 2018, tuvo entrada en esta Agencia escrito de

A.A.A. (en lo sucesivo el reclamante) contra MIJAS SERVICIOS COMPLEMENTARIOS S.L.

en lo sucesivo la entidad reclamada) entidad que está destinada a la generación de programas

de ayuda social mediante el contrato de personas en situación de vulnerabilidad y exclusión

social, en base a unos requisitos preestablecidos.

El reclamante denuncia que dicha entidad permite a personas no autorizadas, el acceso a los

datos personales de las personas que solicitan los programas de ayuda social que lleva a cabo

la entidad reclamada, así como el acceso a las nóminas y documentación contractual laboral de

las personas que participan en el programa, siendo una cuestión delicada por la inclusión de

ciertos perfiles personales en los programas, provenientes de situaciones de privación de

libertad y otros altamente comprometedores.

SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos

procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los

hechos denunciados, teniendo conocimiento de los siguientes extremos:

Con fecha 18 de febrero de 2019, se da traslado de la denuncia a MIJAS SERVICIOS

COMPLEMENTARIOS S.L. en las actuaciones con referencia E/08001/2018. La notificación se

realiza electrónicamente a través de notific@. Según este sistema de notificación, se ha

producido el rechazo automático al haber transcurrido diez días naturales desde su puesta a

disposición.

Con fecha 1 de marzo de 2019, se reitera el traslado a MIJAS SERVICIOS

COMPLEMENTARIOS S.L. La notificación se realiza por correo postal y figura entregada por el

Servicio de Correos el 6 de marzo de 2019. No se recibe contestación.

Con fecha 20 de junio de 2019, MIJAS SERVICIOS COMPLEMENTARIOS S.L. remite a esta

Agencia la siguiente información:

1. Documento Marco del Ayuntamiento de Mijas donde se regula el Programa Municipal

de Renta Básica. Establece, entre otros términos:

a. Requisitos de acceso.

? La persona solicitante debe ser mayor de edad.

? El/la solicitante debe estar inscrito/a en el Servicio Andaluz de Empleo y

estar en situación de desempleo.

? La unidad familiar debe estar constituida de forma estable, con un año de

antelación, como mínimo, a la fecha de la presentación de la solicitud, salvo

en los casos de matrimonio o pareja de hecho, nacimiento, adopción o

acogimiento de hijo o hija y ruptura familiar suficientemente acreditada.

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

2/8

? Estar todos sus miembros empadronados como residentes en el municipio

de Mijas, al menos 5 años en el cómputo de los últimos 7 años de

antelación a la fecha de presentación de la solicitud, salvo casos de fuerza

mayor que queden acreditados. En este supuesto se englobarían:

- Emigrantes andaluces retornados.

- Víctimas de Violencia de Género y Víctimas de Terrorismo.

? Tomando como referencia y base el Indicador Público de Renta de Efectos

Múltiples, (IPREM) se establecerá para la convocatoria anual de los posibles

contratos a realizar por las empresas integrantes del Programa Marco los

recursos mensuales máximos que la unidad familiar pueda tener, y la

aplicación del índice multiplicador, que, si procediera, se acordará y

detallará en la convocatoria anual, según la situación económico- social del

municipio.

? Aceptar el beneficiario y los miembros de la unidad familiar los compromisos

que se determinen al objeto de facilitar el proceso de inclusión social que

mejor se valore, y los cuales serán reflejados en un documento de Acuerdo

firmado por las partes.

b. Las solicitudes deberán ir acompañadas de la siguiente documentación.

? Fotocopia del Documento Nacional o NIE del solicitante y de los miembros

de la unidad familiar mayores de 16 años.

? Fotocopia del Libro de Familia

? En el caso de uniones no matrimoniales, certificación de estar inscritos en el

Registro de Uniones de Hecho de la Comunidad Autónoma de Andalucía.

En su defecto se acreditará la unión por cualquier otro medio admitido en

Derecho.

? Fotocopia de la declaración de la renta del último ejercicio o certificado

negativo de Hacienda.

? Fotocopia del contrato de trabajo y las dos últimas nóminas de los mayores

de dieciséis años que realicen actividad laboral en el momento de presentar

la solicitud y/o vida laboral.

? Informe de Inscripción y Certificado de estar percibiendo o no prestación

económica del Servicio Andaluz de Empleo.

? Certificados de pensiones de la Seguridad Social u otros organismos.

? Certificado bancario o documento acreditativo con el número de cuenta,

debiendo ser el contratado, titular de dicha cuenta.

c. El ente gestor solicitará, con el consentimiento del solicitante, la

documentación necesaria para la tramitación de la solicitud, entre la que se

puede encontrar la siguiente:

? Certificación expedida por el Ayuntamiento, acreditativa de que todos los

miembros de la unidad familiar se hayan empadronados como convivientes

en un mismo domicilio, ubicado en el municipio de Mijas, al menos con dos

años de antelación a la fecha de presentación de la solicitud.

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

3/8

? Certificado expedido por el Área de Bienestar Social en los casos en las que

las unidades familiares estén incluidas en algún programa de intervención o

estén siendo atendidas por algún Servicio de dicha área.

d. Baremo del Anexo I que tiene en cuenta los siguientes datos en el apartado de

situación económica resultante de la renta familiar, dando una determinada

puntuación a cada situación en función del porcentaje respecto del IPREM.

e. Baremo del Anexo I que tiene en cuenta los siguientes datos en el apartado de

situación social y familiar dando una determinada puntuación a cada situación:

? Familia monoparental.

? Personas con discapacidad.

? Personas dependientes.

? Familias numerosas.

? Víctimas de violencia de género.

? Víctimas de terrorismo.

? Emigrantes retornados.

? Voluntarios que acrediten al menos 120 horas al año de servicios en

Protección Civil, Cáritas o Cruz Roja o Asociaciones con fines sociales.

? Menores de 25 años sin experiencia laboral.

? Parados de larga duración mayores de 25 años y menores de 45.

? Parados de larga duración mayores de 45 años.

? Hombres y mujeres en periodo de transformación de sexo (transexuales).

f. En su artículo 13 se establece que se publicarán en el Tablón de Edictos y en

la página web los aspirantes seleccionados para su contratación.

2. Aporta modelo de solicitud, que incluye los siguientes datos a aportar por los

solicitantes, entre otros:

a. Datos identificativos: nombre y apellidos, DNI, fecha de nacimiento, edad,

sexo, nacionalidad, estado civil, teléfono, email, domicilio habitual.

b. Otros datos:

? Si es persona con discapacidad.

? Si existen personas dependientes a cargo del solicitante.

? Si es familia monoparental.

? Número de hijos.

? Si es víctima de terrorismo.

? Si es víctima de violencia de género.

? Si está inscrito en el Servicio Andaluz de Empleo al menos con doce meses

de antigüedad.

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

4/8

? Si es menor de 25 años sin experiencia laboral.

? Si es emigrante retornado a Andalucía.

? Si es Voluntario.

? Otras circunstancias a tener en cuenta

? Si es usuario de servicios sociales.

g. Datos económicos de la unidad familiar:

? Ingresos del solicitante.

? Datos de identificación, edad, parentesco, si existe discapacidad, situación

laboral e ingresos de todos los miembros de la unidad familiar.

3. Manifiesta que los beneficiarios del Programa Municipal de Renta Básica firman un

contrato laboral por una duración máxima de seis meses.

Aporta contrato laboral y nómina.

4. Manifiesta que los beneficiarios no tienen acceso a datos de solicitudes, nóminas o

contratos laborales.

5. En relación a la especificación de los tratamientos que se realizan con los datos de las

personas solicitantes de sus programas y de las beneficiarias, manifiesta que:

a. MIJAS SERVICIOS COMPLEMENTARIOS S.L colabora con el Área de

Servicios Sociales del Ayuntamiento de Mijas en la selección del personal a

través de la baremación de las solicitudes presentadas conforme a los criterios

especificados en el Programa Marco, Anexo I: Baremo.

b. Las solicitudes y documentación son presentadas en los diferentes registros

del Ayuntamiento de Mijas. Se procede a su archivo en soporte papel y de

forma digital en los ficheros correspondientes.

c. Los datos personales procedentes de las solicitudes son incorporados a una

base de datos exclusiva para la gestión de la baremación a la cual solo tiene

acceso personal autorizado y está protegida por claves.

d. Para el tratamiento de datos, se trabaja en red a través de carpetas

compartidas con dos áreas del Ayuntamiento de Mijas: Área de Igualdad y

Bienestar Social y el Área de Atención Ciudadana. El acceso a estos ficheros

es solo para personal autorizado.

e. Una vez realizada la baremación se procede a la publicación de las listas de

personal admitido y a su posterior contratación.

f. Los datos personales de las personas que serán contratadas son mecanizados

en una base de datos para la gestión de recursos humanos. Esta base de

datos en gestionada solo por personal autorizado y está protegida por claves.

g. En la fase de acogida del personal que será contratado, se cumplimenta un

cuestionario de ajuste profesional y se realiza la entrega de documentación

relativa a la empresa y la prevención de riesgos laborales. Esta documentación

es archivada en formato papel en los correspondientes expedientes de los

usuarios.

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

5/8

6. Aporta documento de seguridad de protección de datos el cual, entre otros, contiene

los siguientes apartados:

a. Información de interés general, indicando que este documento no podrá ser

utilizado para tratamientos de datos personales que incluyan datos personales

relativos al origen étnico o racial, ideología política religiosa o filosófica, filiación

sindical, datos genéticos y biométricos, datos de salud, y datos de orientación

sexual de las personas, así como cualquier otro tratamiento de datos que

entrañe alto riesgo para los derechos y libertades de las personas.

b. Ámbito de aplicación, indicando que el documento será de aplicación a los

ficheros que contengan datos de carácter personal que se hallen bajo la

responsabilidad de MIJAS SERVICIOS COMPLEMENTARIOS S.L.

c. Medidas técnicas y organizativas, indicando que todos los documentos en

papel se custodian bajo llave.

d. Registro de Actividades de Tratamiento donde se identifica, entre otros, lo

siguiente:

? El responsable del tratamiento es MIJAS SERVICIOS

COMPLEMENTARIOS S.L.

? Descripción de la finalidad:

i. Datos de clientes cuya finalidad es la prestación del servicio

requerido y su posterior facturación.

ii. Datos de proveedores.

iii. Datos de RRHH cuya finalidad es el cumplimiento de la

relación contractual entre empleado y empleador.

? No se tratan categorías especiales de datos.

? No se tratan datos relativos a comisión de infracciones penales o

administrativas.

? No se tratan datos relativos a características personales o circunstancias

sociales.

Con fecha 10 de julio de 2019 se comprueba que en la página web

http://www.fomentoempleomijas.com/web/images/documentos/lista_de_admi/rentabasica/ANE

XO_I_-_Relaci%C3%B3n_Definitiva_de_Solicitudes_Admitidas.pdf del Ayuntamiento de Mijas

figuran publicados los nombres y apellidos, así como puntuaciones obtenidas, de los

solicitantes del Programa de Renta Social Básica.

Con fecha 11 de julio de 2019 se comprueba referencia, en la web anterior, relativa a su

pertenencia al Ayuntamiento de Mijas así como consulta del titular del dominio, identificado

como Ayuntamiento de Mijas.

FUNDAMENTOS DE DERECHO

I

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

6/8

De acuerdo con los poderes de investigación y correctivos que el artículo 58 del

Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD)

otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica

3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos

digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de

investigación la Directora de la Agencia Española de Protección de Datos.

II

De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de

Protección de Datos es competente para desempeñar las funciones que se le asignan en su

artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los

responsables y los encargados del tratamiento acerca de las obligaciones que les incumben,

así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de

estas.

El artículo 9.4 del Real Decreto-ley 5/2018, de 27 de julio, de medidas urgentes para la

adaptación del Derecho español a la normativa de la Unión Europea en materia de protección

de datos, establece lo siguiente:

?Antes de resolver sobre la admisión a trámite de la reclamación, la Agencia Española

de Protección de Datos podrá remitir la misma al delegado de protección de datos que hubiera,

en su caso, designado el responsable o encargado del tratamiento o al organismo de

supervisión establecido para la aplicación de los códigos de conducta, a fin de que den

respuesta a la reclamación en el plazo de un mes.

La Agencia Española de Protección de Datos podrá igualmente remitir la reclamación

al responsable o encargado del tratamiento cuando no se hubiera designado un delegado de

protección de datos ni estuviera adherido a mecanismos de resolución extrajudicial de

conflictos, en cuyo caso el responsable o encargado deberá dar respuesta a la reclamación

también en el plazo de un mes.?

Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los

poderes de investigación regulados en el artículo 58.1 del RGPD, entre los que figura la

facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier

información que requiera para el desempeño de sus funciones.

Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables

y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el

desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de

protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha

autoridad.

Del mismo modo, el ordenamiento jurídico interno también prevé la posibilidad de abrir

un período de información o actuaciones previas. En este sentido, el artículo 55 de la Ley

39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones

Públicas, otorga esta facultad al órgano competente con el fin de conocer las circunstancias del

caso concreto y la conveniencia o no de iniciar el procedimiento.

III

En el presente caso, se ha recibido en esta Agencia la reclamación presentada contra

MIJAS SERVICIOS COMPLEMENTARIOS S.L. por una presunta vulneración del artículo 32

del RGPD en relación con la seguridad en el tratamiento de datos personales.

Dicho precepto establece que:

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

7/8

?1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el

alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad

variables para los derechos y libertades de las personas físicas, el responsable y el encargado

del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel

de seguridad adecuado al riesgo, que en su caso incluya, entre otros:

a) la seudonimización y el cifrado de datos personales;

b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia

permanentes de los sistemas y servicios de tratamiento;

c) la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma

rápida en caso de incidente físico o técnico;

d) un proceso de verificación, evaluación y valoración regulares de la eficacia de las

medidas técnicas y organizativas para garantizar la seguridad del tratamiento.

2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los

riesgos que presente el tratamiento de datos, en particular como consecuencia de la

destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos,

conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos

datos.

3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de

certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el

cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo.

4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que

cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso

a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable,

salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros.?

En el presente caso se denuncia que MIJAS SERVICIOS COMPLEMENTARIOS S.L

permite a personas no autorizadas, el acceso a los datos personales de las personas que

solicitan los programas de ayuda social que lleva a cabo la entidad reclamada, así como el

acceso a las nóminas y documentación contractual laboral de las personas que participan en

dicho programa, siendo una cuestión delicada por la inclusión de ciertos perfiles personales

provenientes de situaciones de privación de libertad y otros altamente comprometedores.

Tras las actuaciones de investigación de esta Agencia, se ha constatado que los datos

personales procedentes de las solicitudes presentadas a los programas de ayuda social

ofertados por la entidad reclamada son incorporados a una base de datos exclusivamente

utilizada para la gestión de la baremación del cumplimiento o no de requisitos, a la cual solo

tiene acceso el personal autorizado y está protegida por claves.

Esto es así ya que para el tratamiento de dichos datos, se trabaja en red a través de

carpetas compartidas con dos áreas del Ayuntamiento de Mijas: Área de Igualdad y Bienestar

Social y el Área de Atención Ciudadana y el acceso a estos ficheros es solo para personal

autorizado.

Una vez realizada la baremación, se procede a la publicación de las listas del personal

admitido y a su posterior contratación, y respecto a los datos personales de las personas que

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

8/8

serán contratadas, estos son mecanizados en una base de datos para la gestión de recursos

humanos, siendo esta base de datos gestionada solo por personal autorizado y protegida por

claves.

Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de

Protección de Datos,

SE ACUERDA

1. PROCEDER AL ARCHIVO de las presentes actuaciones.

2. NOTIFICAR la presente resolución al reclamante e INFORMAR de ella al responsable

del tratamiento.

Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el

art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las

Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la

citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente,

recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el

plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o

directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo

de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la

disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción

Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la

notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley.

Mar España Martí

Directora de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

LIBROS Y CURSOS RELACIONADOS

Tratado de protección de datos personales
Disponible

Tratado de protección de datos personales

José Luis Domínguez Álvarez

29.75€

28.26€

+ Información

Vademecum | PROTECCIÓN DE DATOS (DESCATALOGADO)
Disponible

Vademecum | PROTECCIÓN DE DATOS (DESCATALOGADO)

Editorial Colex, S.L.

55.00€

16.50€

+ Información

Suscripción más de 250 formularios para PYMES
Disponible

Suscripción más de 250 formularios para PYMES

Editorial Colex, S.L.

100.00€

95.00€

+ Información

Protección de datos en comunidades de propietarios. Paso a paso (DESCATALOGADO)
Disponible

Protección de datos en comunidades de propietarios. Paso a paso (DESCATALOGADO)

Dpto. Documentación Iberley

12.75€

6.38€

+ Información

Reglamento General de Protección de Datos (RGPD)
Disponible

Reglamento General de Protección de Datos (RGPD)

Editorial Colex, S.L.

3.65€

3.47€

+ Información