1/7
Expediente Nº: TD/00263/2020
RESOLUCIÓN Nº: R/00214/2021
Vista la reclamación formulada el 18 de agosto de 2020 ante esta Agencia por D.
A.A.A., contra ADEVINTA SPAIN, S.L., por no haber sido debidamente atendido su
derecho de acceso.
Realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de
los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes
HECHOS
PRIMERO: Con fecha 27 de junio de 2020, D. A.A.A. (en adelante, la parte
reclamante) ejerció derecho de acceso frente a ADEVINTA SPAIN, S.L. con NIF
B83411652 (en adelante, la reclamada), sin que su solicitud haya recibido la
contestación legalmente establecida.
La parte reclamante aporta diversa documentación relativa a la reclamación planteada
ante esta Agencia y sobre el ejercicio del derecho ejercitado, manifiesta que, participó
en un procedimiento de selección de personal en InfoJobs y les solicitó, el acceso a la
valoración efectuada a su CV por la empresa que había ofertado el puesto de trabajo,
ya que desconocía la entidad que convocaba el puesto, asimismo señala que, dado el
carácter anónimo de la empresa ofertante, no puede ejercer su derecho de acceso
ante la empresa que trató sus datos, porque la reclamada no se los facilita.
SEGUNDO: De conformidad con el artículo 65.4 de la LOPDGDD, que ha previsto un
mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante
la AEPD, consistente en trasladarlas a los Delegados de Protección de Datos
designados por los responsables o encargados del tratamiento, a los efectos previstos
en el artículo 37 de la citada norma, o a éstos cuando no los hubieren designado, se
dio traslado de la reclamación a la entidad reclamada para que procediese a su
análisis y diera respuesta a La parte reclamante y a esta Agencia en el plazo de un
mes.
En síntesis, la reclamada formuló las siguientes alegaciones, no participan en el
proceso de selección ni en la valoración de candidaturas y que no solicita esa
información en ningún caso.
Que las ofertas publicadas con "perfil ciego" de la empresa, la política de protección de
datos informa explícitamente al usuario sobre este punto.
Que la empresa en cuestión no pode incorporar el CV a su base de datos ni extraer los
mismos del sistema, por lo que no hubo comunicación de datos, y no hay posibilidad
de solicitar ningún derecho de acceso a terceras partes.
Que es Infojobs quien se hace responsable de la información, la custodia y facilita a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/7
sus usuarios el ejercicio de sus derechos, y no realiza ninguna comunicación sin su
consentimiento explícito (cuando las ofertas de empleo así lo requieren). Dentro de
este marco de actuación, las empresas cliente que utilizan Infojobs para reclutar, sólo
tienen acceso temporal a los datos de los candidatos, pero no tienen ningún derecho
de extraer esa información ni procesarla en otros sistemas, ni por supuesto pueden
utilizar la información para otras finalidades distintas de las relacionadas con el
proceso de selección. Al ser los datos personales del afectado relacionados con dicha
candidatura única y exclusivamente responsabilidad de Infojobs, por lo que no hay
posibilidad de solicitar el ejercicio de derechos a ninguna otra entidad, tal y cómo el
candidato solicitaba
Que no almacena ninguna información relacionada con la valoración subjetiva del
candidato y su proceso de selección por parte de las empresas clientes tal y como
reclama el afectado.
TERCERO: El resultado de dicho traslado no permitió entender satisfechas las
pretensiones de la parte reclamante. En consecuencia, a los efectos previstos en su
artículo 64.2 de la LOPDGDD, la Directora de la Agencia Española de Protección de
Datos acordó admitir a trámite la reclamación presentada y se concedió a la entidad
reclamada trámite de audiencia, para que en el plazo de quince días hábiles
presentase las alegaciones que estimara convenientes.
En síntesis, la reclamada formuló las siguientes alegaciones, que la oferta se
procesaba directamente por la reclamada y no en la base de datos de la empresa
cliente, hay que diferenciar los dos tipos de inscripciones a ofertas de empleo que
existen, en la que afecta a la parte reclamante, todo proceso de selección se gestiona
dentro del entorno de Infojobs, el otro caso, que es el que hace mención el reclamante
pero no aplicable a su caso, el proceso de selección se gestiona fuera del entorno de
Infojobs, permitiéndose al cliente almacenar en sus propios sistemas los datos del
candidato.
Que ambos tipos de inscripciones tienen características distintas.
Que el uso del servicio que se establecen en estos casos la obligación del cliente de
usar los datos de los candidatos que se inscriben a sus ofertas únicamente para
gestionar ese proceso de selección en concreto y siempre dentro del entorno de la
reclamada y una vez cerrado el proceso de selección, el cliente no está autorizado a
usar dichos datos para otros procesos de selección ni a conservar ningún tipo de dato
de dichas candidaturas. Por lo tanto, y dado que las empresas cliente únicamente
pueden visualizar temporalmente los datos de los candidatos, pero no extraerlos ni
procesarlos en otros sistemas, no deberían existir datos del candidato sobre dicho
proceso de selección en ninguna otra plataforma o sistema.
Que la reclamada es la única responsable de los datos y estos no deben encontrarse
en otros sistemas que no sean de la plataforma Infojobs. Por tanto, cualquier derecho
de acceso a sus datos personales relacionados con este proceso de selección debe
ser atendido exclusivamente por la reclamada.
Que se informó a la parte reclamante, que la valoración que hizo la empresa sobre su
candidatura no existen, ni es un dato que la plataforma procese ni almacene.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/7
Que las empresas cliente de Infojobs pueden visualizar los datos del candidato, y
pueden avanzarlo en el proceso de selección o descartarlo, pero no introducir datos
relativos a la valoración de la candidatura. Por lo que no es posible satisfacer la
petición del usuario ni facilitarle datos que no se han recibido ni almacenados.
Que se desde el área de privacidad del usuario, está implementado de manera
automatizada poder extraer sus datos personales disponible en el portal y los datos de
terceros que pudieran intervenir como encargados del tratamiento de los datos, e
incorpora toda la información en un único fichero.
Que las valoraciones de los reclutadores no existen en la plataforma y no debería
existir en ninguna otra por cuanto el cliente, atendiendo a las condiciones de uso, no
debería almacenar datos de los candidatos fuera del entorno.
No obstante, se puede extraer información relativa a la identidad de la empresa en el
caso de haberse inscrito en una oferta de “perfil ciego” y en caso de ser de interés del
reclamante, se puede asistirle para que pueda dirigirse directamente a la empresa
para solicitar confirmación al respecto del tratamiento o no de sus datos personales.
No obstante, es importante remarcar que dicha empresa no debería conservar
almacenado ningún dato específico de los candidatos, ni valoraciones.
CUARTO: Examinadas las alegaciones presentadas por la reclamada, son objeto de
traslado a la parte reclamante, para que, en el plazo de quince días hábiles formule
alegaciones que considere oportunas.
Con fecha 11/01/2021, ésta Agencia a través del Soporte del Servicio de Notificaciones
Electrónicas y Dirección Habilitada (plataforma Notific@), puso a disposición de la
parte reclamante dicha alegaciones, y con fecha 22/01/2021 el sistema procede al
rechazo automático de la notificación por haber transcurrido diez días naturales desde
la puesta a disposición de esta sin que se acceda a su contenido.
FUNDAMENTOS DE DERECHO
PRIMERO: Es competente para resolver la Directora de la Agencia Española de
Protección de Datos, conforme a lo establecido en el apartado 2 del artículo 56 en
relación con el apartado 1 f) del artículo 57, ambos del Reglamento (UE) 2016/679 del
Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de
las personas físicas en lo que respecta al tratamiento de datos personales y a la libre
circulación de estos datos (en lo sucesivo, RGPD); y en el artículo 47 de la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de
los derechos digitales (en lo sucesivo LOPDGDD).
SEGUNDO: De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia
Española de Protección de Datos es competente para desempeñar las funciones que
se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y
promover la sensibilización de los responsables y los encargados del tratamiento
acerca de las obligaciones que les incumben, así como tratar las reclamaciones
presentadas por un interesado e investigar el motivo de las mismas.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/7
Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables
y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en
el desempeño de sus funciones. Para el caso de que éstos hayan designado un
delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de
cooperar con dicha autoridad.
Del mismo modo, el ordenamiento jurídico interno, en el artículo 65.4 la LOPDGDD, ha
previsto un mecanismo previo a la admisión a trámite de las reclamaciones que se
formulen ante la Agencia Española de Protección de Datos, que consiste en dar
traslado de las mismas a los delegados de protección de datos designados por los
responsables o encargados del tratamiento, a los efectos previstos en el artículo 37 de
la citada norma, o a éstos cuando no los hubieren designado, para que procedan al
análisis de dichas reclamaciones y a darles respuesta en el plazo de un mes.
De conformidad con esta normativa, con carácter previo a la admisión a trámite de la
reclamación que da lugar al presente procedimiento, se dio traslado de la misma a la
entidad responsable para que procediese a su análisis, diera respuesta a esta Agencia
en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida,
en el supuesto de ejercicio de los derechos regulados en los artículos 15 a 22 del
RGPD.
El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la
parte reclamante. En consecuencia, con fecha 3 de diciembre de 2020, a los efectos
previstos en su artículo 64.2 de la LOPDGDD, la Directora de la Agencia Española de
Protección de Datos acordó admitir a trámite la reclamación presentada. Dicho
acuerdo de admisión a trámite determina la apertura del presente procedimiento de
falta de atención de una solicitud de ejercicio de los derechos establecidos en los
artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el
cual:
“1. Cuando el procedimiento se refiera exclusivamente a la falta de atención de una
solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del
Reglamento (UE) 2016/679, se iniciará por acuerdo de admisión a trámite, que se
adoptará conforme a lo establecido en el artículo siguiente. En este caso el plazo para
resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera
sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo,
el interesado podrá considerar estimada su reclamación”.
No se estima oportuna la depuración de responsabilidades administrativas en el marco
de un procedimiento sancionador, cuyo carácter excepcional implica que se opte,
siempre que sea posible, por la prevalencia de mecanismos alternativos que tengan
amparo en la normativa vigente.
Es competencia exclusiva de esta Agencia valorar si existen responsabilidades
administrativas que deban ser depuradas en un procedimiento sancionador y, en
consecuencia, la decisión sobre su apertura, no existiendo obligación de iniciar un
procedimiento ante cualquier petición realizada por un tercero. Tal decisión ha de
basarse en la existencia de elementos que justifiquen dicho inicio de la actividad
sancionadora, circunstancias que no concurren en el presente caso, considerando que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/7
con el presente procedimiento quedan debidamente restauradas las garantías y
derechos del reclamante.
TERCERO: Los derechos de las personas en materia de protección de datos
personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la
LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión,
oposición, derecho a la limitación del tratamiento y derecho a la portabilidad.
Los aspectos formales relativos al ejercicio de esos derechos se establecen en los
artículos 12 del RGPD y 12 de la LOPDGDD.
Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del
RGPD.
De conformidad con lo dispuesto en estas normas, el responsable del tratamiento
debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus
derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3
del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un
mes, salvo que pueda demostrar que no está en condiciones de identificar al
interesado, y a expresar sus motivos en caso de que no fuera a atender dicha
solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de
responder a la solicitud de ejercicio de sus derechos formulada por el afectado.
La comunicación que se dirija al interesado con ocasión de su solicitud deberá
expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un
lenguaje claro y sencillo.
CUARTO: El artículo 15 del RGPD dispone que:
“1. El interesado tendrá derecho a obtener del responsable del tratamiento
confirmación de si se están tratando o no datos personales que le conciernen y, en tal
caso, derecho de acceso a los datos personales y a la siguiente información:
a) los fines del tratamiento;
b) las categorías de datos personales de que se trate;
c) los destinatarios o las categorías de destinatarios a los que se comunicaron o serán
comunicados los datos personales, en particular destinatarios en terceros u
organizaciones internacionales;
d) de ser posible, el plazo previsto de conservación de los datos personales o, de no
ser posible, los criterios utilizados para determinar este plazo;
e) la existencia del derecho a solicitar del responsable la rectificación o supresión de
datos personales o la limitación del tratamiento de datos personales relativos al
interesado, o a oponerse a dicho tratamiento;
f) el derecho a presentar una reclamación ante una autoridad de control;
g) cuando los datos personales no se hayan obtenido del interesado, cualquier
información disponible sobre su origen;
h) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que
se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información
significativa sobre la lógica aplicada, así como la importancia y las consecuencias
previstas de dicho tratamiento para el interesado.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/7
2. Cuando se transfieran datos personales a un tercer país o a una organización
internacional, el interesado tendrá derecho a ser informado de las garantías
adecuadas en virtud del artículo 46 relativas a la transferencia.
3. El responsable del tratamiento facilitará una copia de los datos personales objeto de
tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el
interesado un canon razonable basado en los costes administrativos. Cuando el
interesado presente la solicitud por medios electrónicos, y a menos que este solicite
que se facilite de otro modo, la información se facilitará en un formato electrónico de
uso común.
4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente
a los derechos y libertades de otros.”
QUINTO: Una vez examinada la documentación obrante en el procedimiento, se
comprueba que la respuesta a la solicitud de acceso es incompleta. No se le informa a
la parte reclamante a quien se comunicaron sus datos personales.
Antes de entrar en el fondo de las cuestiones aquí planteadas, cabe señalar que, el
art. 4.2 del RGPD define tratamiento, como “cualquier operación o conjunto de
operaciones realizadas sobre datos personales o conjuntos de datos personales, ya
sea por procedimientos automatizados o no, como la recogida, registro, organización,
estructuración, conservación, adaptación o modificación, extracción, consulta,
utilización, comunicación por transmisión, difusión o cualquier otra forma de
habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.”
El 12.5 del RGPD dispone que, “La información facilitada en virtud de los artículos 13
y 14 así como toda comunicación y cualquier actuación realizada en virtud de los
artículos 15 a 22 y 34 serán a título gratuito. […]”
El ejercicio del derecho de acceso, al igual que el resto de los derechos, es un derecho
personalísimo, consiste en el derecho que tiene el ciudadano a obtener información
sobre el tratamiento que se está haciendo de sus datos, la posibilidad de obtener una
copia de los datos personales que le conciernan y que estén siendo objeto de
tratamiento, así como información, en particular, sobre los fines del tratamiento, las
categorías de datos, los destinatarios, las posibles comunicaciones, el plazo previsto
de conservación, la posibilidad de ejercitar otros derechos, la información disponible
sobre el origen de los datos (si estos no se han obtenido directamente de titular) o la
existencia de decisiones automatizadas, incluida la elaboración de perfiles, sin que
afecte a datos de terceros.
Dicho lo anterior, se entiende como comunicación de datos, cualquier mecanismo que
proporcione el acceso a los datos de un fichero a un tercero interesado, por lo tanto, el
responsable está obligado a comunicar al interesado sobre el tratamiento y sobre a
quién se han comunicado sus datos personales, así como la información relacionada
con él.
Dado que, el acceso a los datos personales de la parte reclamante es incompleto,
procede estimar la reclamación que originó el presente procedimiento y facilitar el
acceso solicitado.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/7
El resto de las cuestiones planteadas por las partes, no resultan de la competencia de
esta Agencia, debiéndose dirimir y resolver por las instancias correspondientes.
Vistos los preceptos citados y demás de general aplicación,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: ESTIMAR la reclamación formulada por D. A.A.A. e instar a ADEVINTA
SPAIN, S.L. con NIF B83411652, para que, en el plazo de los diez días hábiles
siguientes a la notificación de la presente resolución, remita a la parte reclamante
certificación en la que haga constar que ha atendido el derecho de acceso ejercido, de
conformidad con lo establecido en el cuerpo de la presente resolución. Las
actuaciones realizadas como consecuencia de la presente Resolución deberán ser
comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución
podría comportar la comisión de la infracción considerada en el artículo 72.1.m) de la
LOPDGDD, que se sancionará, de acuerdo con el art. 58.2 del RGPD.
SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A. y a ADEVINTA SPAIN,
S.L..
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
1034-080719
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es