Source: http://docplayer.es/18602154-Gabinete-juridico-informe-0393-2010.html
Timestamp: 2019-09-22 04:19:39+00:00

Document:
Gabinete Jurídico. Informe 0393/ PDF
Download "Gabinete Jurídico. Informe 0393/2010"
José Luis Martin Herrero
1 Informe 0393/2010 La consulta plantea la incidencia de las normas de protección de datos contenidas en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de datos de Carácter Personal, y su Reglamento de desarrollo, aprobado por Real Decreto 1720/2007, de 21 de diciembre, en la actividad que la misma describe. Según lo descrito en la consulta, la consultante, con sede en España, presta bajo el sistema de franquicia, el servicio de emisión y gestión de una tarjeta de crédito, bajo la supervisión de la entidad matriz del Grupo, situada en Estados Unidos, mediante dos tipos de cuentas: la denominada cuenta de viajes, en que la tarjeta es contratada por la empresa en que presta sus servicios el empleado que hace uso de la misma para el pago de los gastos de viaje; y la denominada tarjeta personal corporativa, contratada directamente por el empleado y domiciliada en la cuenta del mismo, sin perjuicio de que pueda o no procederse por la empresa al reintegro de los gastos, lo que no afecta a la relación que justifica la emisión de la tarjeta. Se plantea la creación de un servicio X que permitiría a la empresa de la que es empleado el portador o titular de la tarjeta acceder a la información relativa a los desembolsos realizados con la tarjeta en tiempo real a través de una aplicación sustentada por la matriz norteamericana del Grupo. Del mismo modo, se plantea la posibilidad de que dicho acceso sea llevado a cabo por una entidad con la que la empresa cliente hubiera contratado la gestión y liquidación de los pagos. Para dar una adecuada respuesta a la cuestión planteada debería analizarse la relación que vincula a los distintos intervinientes en el proceso, a saber, el empleado respecto del que se procederá al tratamiento de los datos, la empresa en la que presta sus servicios, la consultante, su matriz en los Estados Unidos de América y la entidad a la que la empresa encomendase la gestión de las liquidaciones de los gastos de viaje. En cuanto a la relación entre la consultante y la empresa cabe diferenciar dos flujos distintos de datos: los facilitados por la empresa a la consultante en el servicio de cuenta de viajes y los que según la consulta facilitará a la empresa como consecuencia de la utilización de la tarjeta. En el primero de los casos, se producirá una cesión o comunicación de datos desde la empresa a la consultante, que procederá de la relación contractual existente entre ésta y el empleado usuario de la tarjeta y a cuyo nombre figurará la misma. De este modo, la cesión se verificará en el marco de la relación entre el empleado y la empresa, siendo necesaria para el efectivo 1
2 abono de los gastos en los que pudiera incurrir el empleado, por lo que se encontraría amparada en el artículo 11.2 c) de la Ley Orgánica 15/1999. En cuanto al flujo de datos desde la consultante a la empresa (sin perjuicio de que este se materialice a través del sistema descrito en la consulta) se producirá igualmente una cesión de datos, debiendo diferenciarse entre los dos productos descritos en la consulta. En caso de que se trate del servicio de cuenta de viajes, en que la propia empresa ha contratado la prestación del servicio con la consultante, la comunicación de los datos se encontraría amparada en la misma causa que justifica la cesión de los datos del usuario de la tarjeta a la propia consultante, al ser necesaria para el adecuado desarrollo, cumplimiento o control de la relación jurídica entre el empleado y la empresa empleador. Por ello, el acceso a estos datos por parte de la empresa se encuentra amparado por el artículo 11.2 c) de la Ley Orgánica 15/1999. Si embargo, en caso de que se trate del servicio de tarjeta personal corporativa, la empresa no forma parte de la relación jurídica existente entre el empleado que contrata los servicios de la consultante y ésta última, por lo que no cabe acudir a la mencionada excepción al consentimiento del interesado, que sí sería necesario para que pudiera producirse la revelación de los datos relacionados con los desembolsos realizados por dicho usuario. De este modo, el consentimiento será siempre necesario para que se produzca la citada revelación de los datos a la empresa, no afectando a dicha conclusión el hecho de que en caso de no producirse dicha revelación la empresa no hiciese frente al abono realizado, por cuanto, debe reiterarse, el usuario efectúa el abono en su propio nombre, siendo cargado el mismo a su propia cuenta corriente y permaneciendo la empresa siempre ajena a esta relación. En consecuencia, y con independencia de donde se encontrase el servidor en que se almacena la información y se hiciese accesible por el usuario, el acceso a la misma por la empresa estaría amparado por el artículo 11.2 c) de la Ley Orgánica 15/1999 únicamente en el supuesto de cuenta de viajes, siendo necesario el consentimiento del interesado para la comunicación a la empresa de los desembolsos efectuados en caso de contratación de la tarjeta personal corporativa. Las anteriores consideraciones resultan relevantes, por cuanto la legitimación para el acceso a los datos de carácter personal se basará en las causas citadas, incluso si no existiese una tercera entidad, la matriz de la consultante, que ofreciese esa información. Haciendo referencia a esta nueva entidad, su relación jurídica únicamente aparecerá vinculada, de conformidad con los términos de la consulta, con la propia consultante y no con la empresa cliente de la misma en caso de cuenta de viajes o cesionaria, en su caso, de los datos en caso de 2
3 tarjeta personal corporativa. De este modo, no debe analizarse si existe tal relación, sino únicamente la relación entre la consultante y su matriz, dado que en los términos de la consulta, la revelación de los datos que se producirá desde ésta última se llevará siempre a cabo por cuenta de la propia consultante. Pues bien, de los citados términos se desprende que la entidad matriz únicamente sería contratada, a los efectos que interesan en el presente informe y sin perjuicio de su condición de licenciadora de la tarjeta en su caso, para la realización de un tratamiento consistente en el almacenamiento de los datos y la accesibilidad de los mismos a la entidad empleadora. De este modo, dicha entidad matriz únicamente sería, en lo que al supuesto analizado en el presente informe se refiere, encargada del tratamiento de la consultante, tratando los datos y accediendo a los mismos exclusivamente por cuenta de la consultante. En consecuencia, prescindiendo de momento de la valoración de la ubicación de la matriz, la relación entre la consultante y su entidad matriz queda sometida al régimen descrito en el artículo 12 de la Ley Orgánica 15/1999 y en el Capítulo III del Título II de su reglamento de desarrollo, caracterizado por las siguientes notas: a) En primer lugar, será preciso que la actuación del encargado del tratamiento se limite a la prestación de los servicios objeto de la contratación. A tal efecto dispone el artículo 20.1 del Reglamento de desarrollo de la Ley Orgánica 15/1999 que se considerará que existe comunicación de datos cuando el acceso tenga por objeto el establecimiento de un nuevo vínculo entre quien accede a los datos y el afectado. b) En lo que atañe a los requisitos formales, el artículo 12.2 de la Ley Orgánica impone que la realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. c) Por lo que respecta al periodo de conservación de los datos, el artículo 12.3 establece que una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. Añade el artículo 20.3 del Reglamento que no obstante, el encargado del tratamiento no incurrirá en responsabilidad cuando, previa indicación expresa del responsable, comunique los datos a un tercero designado por 3
4 aquél, al que hubiera encomendado la prestación de un servicio conforme a lo previsto en el presente capítulo. El artículo 22.1 reitera esta previsión, al indicar que una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento o al encargado que éste hubiese designado, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. d) Por otra parte, a fin de preservar los derechos del encargado frente a posibles responsabilidades derivadas de su actuación, dispone el artículo 22.1 del Reglamento que el encargado del tratamiento conservará, debidamente bloqueados, los datos en tanto pudieran derivarse responsabilidades de su relación con el responsable del tratamiento. e) En lo referente a la posible subcontratación de los servicios prestados, el artículo 21 del Reglamento permite esta posibilidad en caso de que el responsable del fichero apodere al encargado para la celebración del segundo contrato en nombre de aquél o cuando se den los requisitos especificados en el apartado 2 del citado precepto: - Que se especifiquen en el contrato los servicios que puedan ser objeto de subcontratación y, si ello fuera posible, la empresa con la que se vaya a subcontratar. SI dicha circunstancia no se hubiera previsto en el contrato, deberá procederse a su modificación posterior, conforme al artículo Igualmente, en caso de que en el contrato no conste la identificación de la empresa subcontratista será preciso que el encargado del tratamiento comunique al responsable los datos que la identifiquen antes de proceder a la subcontratación. - Que el tratamiento de datos de carácter personal por parte del subcontratista se ajuste a las instrucciones del responsable del fichero. - Que el encargado del tratamiento y la empresa subcontratista formalicen el contrato previsto en el artículo 12 de la Ley Orgánica. f) En cuanto a las medidas de seguridad que hayan de ser adoptadas por quienes realicen trabajos de tratamiento de datos por cuenta de tercero, habrán de ser, en principio, las mismas que las impuestas al responsable del fichero, tal y como se desprende de lo previsto en los artículos 9 y 12.2 de la Ley Orgánica, detallando el artículo 82 del Reglamento el modo en que deberán implantarse las medidas. g) En cuanto al ejercicio por los afectados de sus derechos de acceso, rectificación, cancelación y oposición, el artículo 26 del Reglamento dispone que cuando los afectados ejercitasen sus derechos ante un encargado del tratamiento y solicitasen el ejercicio de su derecho ante el mismo, el encargado deberá dar traslado de la solicitud al responsable, a fin de que por el mismo se 4
5 resuelva, a menos que en la relación existente con el responsable del tratamiento se prevea precisamente que el encargado atenderá, por cuenta del responsable, las solicitudes de ejercicio por los afectados de sus derechos de acceso, rectificación, cancelación u oposición. h) Por último, según el artículo 12.4, en el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente, siendo, en consecuencia, de aplicación el régimen sancionador establecido en los artículos 43 y siguientes de la Ley, sujetando el primero de ellos al encargado del tratamiento a dicho régimen. Consecuencia de lo anterior será que en ningún caso podrá considerarse que la transmisión de datos a la matriz de la consultante constituye una cesión de datos de carácter personal, al manifestarse expresamente en contrario el artículo 12.1 de la Ley Orgánica 15/1999, siendo necesario el cumplimiento de los requisitos exigibles para la existencia de un encargado del tratamiento conforme al régimen descrito. Esta misma relación regiría en las relaciones existentes, en el sistema descrito en la consulta, entre la empresa que accedería a los datos y aquélla entidad a la que encomendase la gestión de la liquidación de los gastos, siempre siguiendo los términos descritos en la consulta, en que dicha entidad no parece corresponderse con la entidad financiera en que se encontrase domiciliado el pago de los gastos generados de la tarjeta, siendo además necesario destacar que dicha circunstancia sería imposible en el caso de la tarjeta personal corporativa, dado que la misma se encuentra domiciliada a nombre del empleado y no de la empresa. Lo que acaba de indicarse resulta relevante en cuanto que el acceso a los datos que fueran comunicados a través del sistema descrito en la consulta por parte de la citada entidad liquidadora lo sería por cuenta de la propia empresa, por lo que no cabría entender que existiera diferencia alguna, desde el punto de vista de protección de datos entre ambos supuestos: el acceso directo por la empresa o el acceso por parte de la entidad encargada de la liquidación de los gastos. De este modo, y resumiendo lo señalado hasta este lugar, sin tener aún en cuenta el hecho de que la matriz se encuentra situada fuera del Espacio Económico Europeo, la revelación de los datos por medio de la encargada del tratamiento a la empresa contratante del servicio o a la entidad a la que ésta encomiende el acceso a los datos por cuenta de aquélla, sería conforme a la Ley Orgánica 15/1999 al amparo de su artículo 11.2 c) en el caso de la cuenta de viajes o previo consentimiento del titular, que podría manifestarse en el propio contrato, en el caso de la tarjeta personal corporativa. 5
6 La última cuestión a tener en cuenta en el modelo descrito en la consulta es la de que el encargado del tratamiento de la consultante, su entidad matriz, se encuentra fuera del Espacio Económico Europeo, lo que implicará la existencia de una transferencia internacional de datos, que deberá respetar lo dispuesto en los artículos 33 y 34 de la Ley Orgánica y en el Título VI de su Reglamento de desarrollo. Tratándose de una transferencia que encierra la prestación de un servicio por parte del exportador, en este caso la consultante, no cabría acudir a las categorías propias de la cesión de datos, que justifican el acceso a los datos por parte de la empresa en la que presta sus servicios el usuario o titular de la tarjeta, pero no el acceso por la matriz encargada del tratamiento. En este sentido, ni cabe considerar que la prestación del servicio por una empresa extracomunitaria sea necesario para que el mismo se desarrolle adecuadamente, ni que dicha prestación por un tercero sea necesaria para el mantenimiento, desarrollo o control de la relación del empleado con la empresa. Del mismo modo, el consentimiento del empleado para que la empresa pueda acceder a los desembolsos realizados por la tarjeta personal corporativa no guarda relación alguna con el hecho de que los datos relacionados con dichos desembolsos sean tratados por un encargado del tratamiento situado fuera de la Unión Europea. En consecuencia, sería preciso seguir el régimen establecido en la Ley Orgánica 15/1999 y su normativa de desarrollo. De este modo, cabrían dos posibles situaciones en el supuesto planteado: Si la entidad matriz se encuentra adherida a los principios de puerto seguro a los que se refiere la Decisión de la Comisión 2000/520/CE, de 26 de julio, se estaría a lo dispuesto en el artículo 68 del reglamento, según el cual No será necesaria la autorización del Director de la Agencia Española de Protección de Datos para la realización de una transferencia internacional de datos que tuvieran por importador una persona o entidad, pública o privada, situada en el territorio de un Estado respecto del que se haya declarado por la Comisión Europea la existencia de un nivel adecuado de protección. En caso contrario, sería precisa la autorización del Director de la Agencia a la que se refieren los artículos 33 de la Ley y 70 del Reglamento, pudiendo a tal efecto aportarse como garantía de la transferencia un contrato adoptado conforme a lo dispuesto en la Decisión de la Comisión 2010/87/UE, de 5 de febrero de 2010, relativa a las cláusulas contractuales tipo para la transferencia de datos personales a los encargados del tratamiento establecidos en terceros países, de conformidad con la Directiva 95/46/CE del Parlamento Europeo y del Consejo. Este contrato será independiente de la causa legitimadora de la cesión de los datos a la empresa empleadora del titular o usuario de la tarjeta, no 6
7 pudiendo en ningún caso que puede suplir al consentimiento que resulta necesario en el supuesto de tarjetas individuales corporativas. 7

References: Real Decreto 
 artículo 11
 artículo 11
 artículo 11
 artículo 12
 artículo 20
 artículo 12
 artículo 12
 artículo 20
 artículo 22
 artículo 22
 artículo 21
 artículo 12
 artículo 82
 artículo 26
 artículo 12
 artículo 12
 artículo 11
 artículo 68