La Protección de datos en empresas en concurso Congreso Madrid

La protección de datos en el concurso de acreedores
y la responsabilidad de los administradores concursales
Montserrat Navarro Sánchez
Diplomada en Ciencias Empresariales
Licenciada en ADE y Abogada
Auditora de datos con certificación jurídica de la APEP
0
Resumen
Estudio sobre la incidencia de la normativa sobre Protección de Datos de Carácter
Personal en las empresas en concurso de acreedores y la responsabilidad de los
administradores concursales frente a su cumplimiento y las sanciones. Protocolo a
seguir en la venta de equipos informáticos y en la destrucción de papel.
Abstract
Study on the impact that Personal Data Protection legislation has on companies in
receivership, including receivers’ liability in terms of compliance and sanctions. Protocol
for the sale of IT equipment and the destruction of paper and printed records.
Palabras claves
Ley Orgánica 15/1999 sobre Protección de Datos de Carácter Personal - R.D.
1720/2007, Reglamento Ley Protección de Datos de Carácter Personal - Administración
concursal – Responsabilidad de la administración concursal.
Keywords
Organic Law 15/1999 on Data Protection (personal details) - R.D. 1720/2007,
Regulation of Organic Law – Receivers – Liability of receivers.
1
ÍNDICE:
Pág.
I.- INTRODUCCIÓN ........................................................................................................ 4
II.- OBLIGACIONES FORMALES ................................................................................. 5
III.- ADMINISTRACIÓN CONCURSAL EN INTERVENCIÓN DE FACULTADES . 6
IV.- ADMINISTRACIÓN CONCURSAL EN SUSPENSIÓN DE FACULTADES ...... 8
V.- ACTUACIONES DE LA ADMINISTRACIÓN CONCURSAL............................. 10
VI.- CONCLUSIONES ................................................................................................... 13
2
I.- INTRODUCCIÓN:
Los equipos informáticos permiten almacenar y tratar gran cantidad de información.
La normalización de su uso y la facilidad con las que nuevas tecnologías los recogen,
conservan y transmiten suponen un peligro a la privacidad de las personas y a su
intimidad.
La Comunidad Europea se planteó la necesidad de regular el tráfico de los datos de
carácter personal1. Los comienzos fueron meros Dictámenes sobre regulaciones
mínimas. El Estado español publicó en 1992 la LORTAD (Ley Orgánica 5/1992, sobre
Regulación del Tratamiento Automatizado de Datos), pero no elaboró su reglamento
hasta junio de 1999, momento en que el Parlamento Europeo y el Consejo, ya habían
dictado la Directiva 95/46/CE, de 24 de octubre de 1995, relativa a la protección de las
personas físicas en lo que respecta al tratamiento de datos personales y a la libre
circulación de estos datos.
En España se traspuso la directiva con la Ley Orgánica 15/1999, de 13 de Diciembre,
de Protección de Datos de Carácter Personal (LOPD) que amplió la regulación al
tratamiento de datos de carácter personal en soporte papel. Pero de nuevo el
Reglamento de desarrollo de la Ley se postergó largamente en el tiempo, no fue
redactado hasta 2007, con el Real Decreto 1720/2007, de 21 de Diciembre.
La lentitud en la publicación de la norma se tradujo en un Reglamento largo,
exhaustivo y exigente. La normativa española sobre Protección de Datos es de las más
restrictivas de Europa y prevé sanciones muy elevadas para determinadas conductas.
1
Dictámenes, Resoluciones y Directivas del Parlamento y/o consejo:
Resolución, de 30 de junio de 1988, sobre el desarrollo del mercado común de los servicios y equipos de
telecomunicación. El Consejo preconizó la adopción de medidas de protección de los datos personales
con objeto de crear un marco adecuado para el futuro desarrollo de las telecomunicaciones dentro de la
Comunidad; el Consejo volvió a subrayar la importancia de la protección de los datos personales y de la
intimidad en su Resolución, de 18 de julio de 1989, sobre una mayor coordinación en la introducción de
la Red Digital de Servicios Integrados (RDSI) en la Comunidad Europea; el Parlamento Europeo elaboró
el Dictamen de 11 de marzo 1992 (DO C 94 de 13.4.1992, p. 198)
4
El objetivo de este estudio es determinar las obligaciones y responsabilidades sobre
esta materia que recaerán en la administración concursal desde el momento de la
aceptación del cargo y hasta su cese.
II.- OBLIGACIONES FORMALES
La Ley 15/1999 de Protección de Datos de Carácter Personal y su reglamento de
desarrollo, el R.D. 1720/2007 de 21 de diciembre, obliga a todas las empresas, como
Responsables de los Ficheros que son:
a) Declarar los ficheros a la Agencia Española de Protección de Datos2
b) Tener confeccionado un Documento de Seguridad con procedimientos y medidas
para proteger los datos3
c) Tener implementadas estas medidas
d) Una serie de obligaciones formales como, por ejemplo, tener firmados contratos
de prestación de servicios con terceros4 que tengan acceso a los datos de carácter
personal de los que son responsables la empresa, o que tenga acceso a las
instalaciones, dar el derecho de información a los afectados5, etc.
Una empresa en concurso no está liberada del cumplimiento de ninguna norma, pero:
¿Los administradores concursales son responsables delante de la Agencia Española de
Protección de Datos del incumplimiento de la Ley de Protección de Datos?
2
LO 15/1999 Artículo 26. Notificación e inscripción registral.
1. Toda persona o entidad que proceda a la creación de ficheros de datos de carácter personal lo
notificará previamente a la Agencia Española de Protección de Datos.
3
R.D. 1720/2007 Artículo 88. El documento de seguridad.
1. El responsable del fichero o tratamiento elaborará un documento de seguridad que recogerá las
medidas de índole técnica y organizativa acordes a la normativa de seguridad vigente que será de
obligado cumplimiento para el personal con acceso a los sistemas de información.
4
LO 15/1999 Artículo 12. Acceso a los datos por cuenta de terceros.
1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea
necesario para la prestación de un servicio al responsable del tratamiento.
2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá
constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido,
estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a
las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que
figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas.
5
LO 15/1999 Artículo 5. Derecho de información en la recogida de datos.
1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo
expreso, preciso e inequívoco
5
La respuesta no es única ni simple. Dependerá de diversos factores el grado de
responsabilidad que puede llegar a tener la Administración concursal.
Cuando el administrador concursal acepta el cargo, la empresa en concurso puede
encontrarse en dos situaciones: que esté en activo y espere tener continuidad o que
haya solicitado la liquidación.
Analicemos separadamente ambas situaciones, pues las acciones a llevar a cabo
difieren sustancialmente.
III.-
ADMINISTRACIÓN
CONCURSAL
EN
INTERVENCIÓN
DE
FACULTADES
En el supuesto de que la empresa concursada continúe con su actividad y pretenda
alcanzar un convenio con sus acreedores, como norma general, el administrador
concursal estará en intervención, es decir, fiscalizará las operaciones financieras de la
compañía y complementará la personalidad jurídica del administrador societario en
algunos supuestos.
Si la empresa no cumple con la normativa sobre protección de datos de carácter
personal en el momento de la aceptación de su cargo, la administración concursal no
ha tenido nada que ver en este incumplimiento y nunca se la puede hacer responsable.
Hay que tener en cuenta que el Responsable y/o Titular de los ficheros es siempre la
empresa y que para derivar responsabilidades a una persona física (trabajador, socio o
administrador) se debe demostrar que la falta ha sido cometida por la persona en
cuestión y sin seguir instrucciones de la compañía, es decir, por voluntad propia.
Si la empresa no tiene declarados los ficheros ni tiene elaborado e implementado el
Documento de Seguridad, está claro que la administración concursal no es responsable
de ello. En el momento de su entrada en la sociedad ya se estaba incumpliendo la
norma.
6
Si la empresa continua con su actividad y ésta supone el tratamiento de datos de
carácter personal de nivel alto o medio6, como por ejemplo: datos de salud, o de
alguna clase de información íntima o extensa, como sería una empresa de selección de
personal, por ejemplo, sí sería prudente instar de manera fehaciente a la concursada
que tome medidas y adecúe la empresa y los procedimientos a la Ley. Pero si no
atienden la solicitud, tampoco será responsable el administrador concursal, es más, si
la empresa fuera sancionada podría reclamar responsabilidades al administrador
societario por desoír su petición.
En los casos de empresas concursadas ya sean de servicios, productivas o comerciales
cuyos clientes y proveedores sean exclusivamente empresarios, comerciantes o tengan
formas societarias, a pesar de que sí que deberían estar adecuadas a la Ley en lo
referente a los datos de sus trabajadores, no es tan imperiosa su adecuación debido a
que la normativa de Protección de Datos, en su art. 2 del R.D. 1720/2007 de 21 de
desembre, prevé que los primeros queden excluidos del ámbito de aplicación de la
Ley:
6
R.D. 1720/2007 Artículo 80. Niveles de seguridad.
Las medidas de seguridad exigibles a los ficheros y tratamientos se clasifican en tres niveles: básico,
medio y alto.
Artículo 81. Aplicación de los niveles de seguridad.
1. Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de
seguridad calificadas de nivel básico.
2. Deberán implantarse, además de las medidas de seguridad de nivel básico, las medidas de nivel medio,
en los siguientes ficheros o tratamientos de datos de carácter personal:
a. Los relativos a la comisión de infracciones administrativas o penales.
b. Aquellos cuyo funcionamiento se rija por el artículo 29 de la Ley Orgánica 15/1999, de 13 de
diciembre.
c. Aquellos de los que sean responsables Administraciones tributarias y se relacionen con el ejercicio
de sus potestades tributarias.
d. Aquéllos de los que sean responsables las entidades financieras para finalidades relacionadas con
la prestación de servicios financieros.
e. Aquéllos de los que sean responsables las Entidades Gestoras y Servicios Comunes de la
Seguridad Social y se relacionen con el ejercicio de sus competencias. De igual modo, aquellos de
los que sean responsables las mutuas de accidentes de trabajo y enfermedades profesionales de la
Seguridad Social.
f. Aquéllos que contengan un conjunto de datos de carácter personal que ofrezcan una definición de
las características o de la personalidad de los ciudadanos y que permitan evaluar determinados
aspectos de la personalidad o del comportamiento de los mismos.
3. Además de las medidas de nivel básico y medio, las medidas de nivel alto se aplicarán en los siguientes
ficheros o tratamientos de datos de carácter personal:
a. Los que se refieran a datos de ideología, afiliación sindical, religión, creencias, origen racial, salud
o vida sexual.
b. Los que contengan o se refieran a datos recabados para fines policiales sin consentimiento de las
personas afectadas.
c. Aquéllos que contengan datos derivados de actos de violencia de género.
7
«2.2.- Este reglamento no será aplicable a los tratamientos de datos referidos a
personas jurídicas, ni a los ficheros que se limiten a incorporar los datos de las
personas físicas que presten sus servicios en aquéllas, consistentes únicamente en
su nombre y apellidos, las funciones o puestos desempeñados, así como la
dirección postal o electrónica, teléfono y número de fax profesionales.
2.3. Asimismo, los datos relativos a empresarios individuales, cuando hagan
referencia a ellos en su calidad de comerciantes, industriales o navieros, también
se entenderán excluidos del régimen de aplicación de la protección de datos de
carácter personal.»
En este tipo de empresas habrá que legitimar el fichero de Personal. En el caso de que
las nóminas las efectúe una asesoría se deberá, además, firmar el contrato de
prestación de servicios que estipula el art. 12 de la LOPD.
De todos modos, teniendo en cuenta la situación de una empresa en concurso, es del
todo lógico dirigir los esfuerzos hacia otros cauces y postergar estas acciones para más
adelante, actuando, eso sí, siempre dentro de las más estricta legalidad.
IV.- ADMINISTRACIÓN CONCURSAL EN SUSPENSIÓN DE FACULTADES
Si la empresa ha solicitado la liquidación, habitualmente la Administración concursal
es la única responsable de la compañía ya que los administradores societarios han sido
cesados. En este caso, no obstante, como ya no habrá actividad empresarial, no será
preciso adecuar la empresa. De hecho, si los ficheros estuvieran declarados se deberían
dar de baja o suprimir7 en la Agencia Española de Protección de Datos.
Los datos de trabajadores, clientes y proveedores ya solo se utilizarán para cumplir
con la normativa vigente fiscal, laboral y concursal y la Ley de Protección de Datos
7
RD. 1720/2007 Artículo 58. Notificación de la modificación o supresión de ficheros.
1. La inscripción del fichero deberá encontrarse actualizada en todo momento. Cualquier modificación
que afecte al contenido de la inscripción de un fichero deberá ser previamente notificada a la Agencia
Española de Protección de Datos o a las autoridades de control autonómicas competentes, a fin de
proceder a su inscripción en el registro correspondiente, conforme a lo dispuesto en el artículo 55.
2. Cuando el responsable del fichero decida su supresión, deberá notificarla a efectos de que se proceda a
la cancelación de la inscripción en el registro correspondiente.
8
prevé que el tratamiento y cesión de datos realizados al amparo de una norma legal, no
precisan de autorización ni se debe de informar de ello a los afectados al hacerlo8.
En liquidación, con los datos de los empleados, como mucho, se deberá realizar un
ERE a la totalidad de la plantilla y entonces se volverá a estar frente un procedimiento
que se efectúa en sede judicial y siguiendo una norma legal.
También se debe tener presente, que la toma de les datos ha sido realizada por la
empresa con anterioridad a la entrada de la Administración concursal. Ello supondrá
que la Administración concursal tendrá una responsabilidad aún menor en cuanto a la
legalidad sobre la forma como se han obtenido los datos. Si no se ofreció el derecho de
8
L. O. 15/1999 Artículo 10. Supuestos que legitiman el tratamiento o cesión de los datos
1. Los datos de carácter personal únicamente podrán ser objeto de tratamiento o cesión si el interesado
hubiera prestado previamente su consentimiento para ello.
2. No obstante, será posible el tratamiento o la cesión de los datos de carácter personal sin necesidad del
consentimiento del interesado cuando:
Lo autorice una norma con rango de ley o una norma de derecho comunitario y, en particular, cuando
concurra uno de los supuestos siguientes:
• El tratamiento o la cesión tengan por objeto la satisfacción de un interés legítimo del
responsable del tratamiento o del cesionario amparado por dichas normas, siempre que no
prevalezca el interés o los derechos y libertades fundamentales de los interesados previstos en
el artículo 1 de la Ley Orgánica 15/1999, de 13 de diciembre.
• El tratamiento o la cesión de los datos sean necesarios para que el responsable del tratamiento
cumpla un deber que le imponga una de dichas normas.
• Los datos objeto de tratamiento o de cesión figuren en fuentes accesibles al público y el
responsable del fichero, o el tercero a quien se comuniquen los datos, tenga un interés legítimo
para su tratamiento o conocimiento, siempre que no se vulneren los derechos y libertades
fundamentales del interesado.
• No obstante, las Administraciones públicas sólo podrán comunicar al amparo de este apartado
los datos recogidos de fuentes accesibles al público a responsables de ficheros de titularidad
privada cuando se encuentren autorizadas para ello por una norma con rango de ley.
3. Los datos de carácter personal podrán tratarse sin necesidad del consentimiento del interesado cuando:
• Se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el
ámbito de las competencias que les atribuya una norma con rango de ley o una norma de
derecho comunitario.
• Se recaben por el responsable del tratamiento con ocasión de la celebración de un contrato o
precontrato o de la existencia de una relación negocial, laboral o administrativa de la que sea
parte el afectado y sean necesarios para su mantenimiento o cumplimiento.
• El tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los
términos del apartado 6 del artículo 7 de la Ley Orgánica 15/1999, de 13 de diciembre.
4. Será posible la cesión de los datos de carácter personal sin contar con el consentimiento del interesado
cuando:
• La cesión responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo,
cumplimiento y control comporte la comunicación de los datos. En este caso la comunicación
sólo será legítima en cuanto se limite a la finalidad que la justifique.
• La comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el
Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas o a las instituciones
autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas y se
realice en el ámbito de las funciones que la ley les atribuya expresamente.
9
información al afectado9 en el momento de recabar los datos, la Administración
concursal no es responsable de ello.
V.- ACTUACIONES DE LA ADMINISTRACIÓN CONCURSAL
Los derechos de los afectados, no obstante, no desaparecen por el hecho de haber
incurrido la empresa en un estado de insolvencia y liquidación. La Administración
concursal, sí que es responsable de sus actos y debe velar por el cumplimiento de la
norma en todas sus acciones.
Si en la fase de liquidación se venden ordenadores, éstos deben de estar formateados.
No se pueden entregar con datos en su disco duro, salvo que se tenga la seguridad de
que no contiene ni un solo dato de carácter personal, cosa altamente improbable.
Si no es posible formatearlos porque, por ejemplo, ya no hay suministro eléctrico, se
procederá a la destrucción del disco duro o se contratará una empresa que se ocupe de
hacerlo.
Si se han encontrado compradores para los ordenadores, se deberán eliminar los datos
y si no es posible o hay un gran número de ellos, se deberá hacer firmar al comprador
un documento por el cual se comprometa a eliminarlos y a no hacer ningún uso con
ellos.
Pera que la empresa concursada sea sancionada, será preciso que alguien presente una
denuncia. Es muy posible que, en el caso de entregar a un tercero algún tipo de dato,
éste no realice ningún uso y en consecuencia no suceda nada. Pero también puede
9
L. O. 15/1999 Artículo 5. Derecho de información en la recogida de datos.
1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo
expreso, preciso e inequívoco:
a. De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la
recogida de éstos y de los destinatarios de la información.
b. Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
c. De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
d. De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
e. De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante.
10
pasar que utilicen algún dato para el envío de publicidad, por ejemplo, y uno de los
afectados presente una denuncia ante la Agencia Española de Protección de Datos.
Se debe poner especial atención con los datos en soporte papel. La información
contenida en los archivadores de la empresa se deberá destruir fehacientemente.
Un capítulo aparte merece la venta de listados de clientes. Si éste está formado por
empresas de forma societaria y empresarios y comerciantes personas físicas, no
representa ningún problema. Como ya se ha indicado anteriormente, la normativa de
Protección de Datos, en su art. 2 del R.D. 1720/2007 de 21 de diciembre, prevé que
queden excluidas del ámbito de aplicación de la Ley.
Bajo estas premisas, podemos tener la certeza de que no se cometerá ninguna falta10 de
las sancionadas11 por la Ley de Protección de Datos en el tratamiento y/o cesión de
10
L.O.15/1999 Artículo 44. Tipos de infracciones.
1. Las infracciones se calificarán como leves, graves o muy graves.
2. Son infracciones leves:
a. No remitir a la Agencia Española de Protección de Datos las notificaciones previstas en esta Ley
o en sus disposiciones de desarrollo.
b. No solicitar la inscripción del fichero de datos de carácter personal en el Registro General de
Protección de Datos.
c. El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de
carácter personal cuando los datos sean recabados del propio interesado.
d. La transmisión de los datos a un encargado del tratamiento sin dar cumplimiento a los deberes
formales establecidos en el artículo 12 de esta Ley.
3. Son infracciones graves:
e. Proceder a la creación de ficheros de titularidad pública o iniciar la recogida de datos de carácter
personal para los mismos, sin autorización de disposición general, publicada en el Boletín Oficial
del Estado o diario oficial correspondiente.
f. Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando
el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.
g. Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y
garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan,
salvo cuando sea constitutivo de infracción muy grave.
h. La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter
personal al que se refiere el artículo 10 de la presente Ley.
i. El impedimento o la obstaculización del ejercicio de los derechos de acceso, rectificación,
cancelación y oposición.
j. El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de
carácter personal cuando los datos no hayan sido recabados del propio interesado.
k. El incumplimiento de los restantes deberes de notificación o requerimiento al afectado impuestos
por esta Ley y sus disposiciones de desarrollo.
l. Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin
las debidas condiciones de seguridad que por vía reglamentaria se determinen.
m. No atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos
o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma.
n. La obstrucción al ejercicio de la función inspectora.
o. La comunicación o cesión de los datos de carácter personal sin contar con legitimación para ello
en los términos previstos en esta Ley y sus disposiciones reglamentarias de desarrollo, salvo que
la misma sea constitutiva de infracción muy grave.
11
datos a un tercero, si estos datos corresponden a una sociedad, en cualquiera de sus
formes: anónima, limitada, cooperativa, civil privada, fundación, asociación...
Cabe remarcar en el caso de estas últimas, que la libertad de tratamiento se centra
única y exclusivamente en el nombre de las propias asociaciones y fundaciones, nunca
se puede entregar un listado de asociados o patrones.
Tampoco están sometidos al ámbito de aplicación de esta ley los nombres de las
personas de contacto y el cargo que ocupan dentro de estas empresas, así como su
teléfono comercial o profesional12.
De la misma manera, las personas físicas de las que se tengan tan sólo datos referidos
a su actividad empresarial o comercial, es decir, que sean empresarios industriales,
comerciantes o navegantes13, tampoco están bajo el ámbito de aplicación de la ley.
Esto significará que se podrán vender sin más problemas y sin consentimiento del
interesado, listados de clientes compuestos por sociedades, empresarios, comerciantes
e industriales.
Lo que está completamente prohibido es vender una lista de clientes personas físicas
usuarios finales, es decir, relaciones de persones que no tengan nada que ver con su
actividad empresarial o laboral. Un ejemplo claro sería, la lista de clientes de El Corte
4. Son infracciones muy graves:
a. La recogida de datos en forma engañosa o fraudulenta.
b. Tratar o ceder los datos de carácter personal a los que se refieren los apartados 2, 3 y 5 del artículo
7 de esta Ley salvo en los supuestos en que la misma lo autoriza o violentar la prohibición
contenida en el apartado 4 del artículo 7.
c. No cesar en el tratamiento ilícito de datos de carácter personal cuando existiese un previo
requerimiento del Director de la Agencia Española de Protección de Datos para ello.
d. La transferencia internacional de datos de carácter personal con destino a países que no
proporcionen un nivel de protección equiparable sin autorización del Director de la Agencia
Española de Protección de Datos salvo en los supuestos en los que conforme a esta Ley y sus
disposiciones de desarrollo dicha autorización no resulta necesaria.
11
L.O. 15/1999 Artículo 45. Tipo de sanciones.
1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros.
2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros.
3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros.
12
R.D. 1720/2007 Artículo 2. Ámbito objetivo de aplicación.
2. Este reglamento no será aplicable a los tratamientos de datos referidos a personas jurídicas, ni a los
ficheros que se limiten a incorporar los datos de las personas físicas que presten sus servicios en
aquéllas, consistentes únicamente en su nombre y apellidos, las funciones o puestos desempeñados,
así como la dirección postal o electrónica, teléfono y número de fax profesionales.
13
R.D. 1720/2007 Artículo 2.3.- Asimismo, los datos relativos a empresarios individuales, cuando hagan
referencia a ellos en su calidad de comerciantes, industriales o navieros, también se entenderán
excluidos del régimen de aplicación de la protección de datos de carácter personal.
12
Ingles, salvo alguna excepción, todos los clientes son personas físicas que están
actuando en su ámbito particular. Para poder hacerlo necesitaríamos el permiso
explícito de cada una de ellas.
De la misma manera, es obvio que, salvo las actuaciones previstas en las leyes, no se
puede hacer ningún uso de los datos de los trabajadores de las empresas concursadas,
ni de los que están en activo ni de los que han sido despedidos.
VI.- CONCLUSIONES
Las conclusiones que se pueden extraer de todo lo expuesto son:
•
La Administración concursal no es responsable del incumplimiento de la empresa
en materia de Protección de Datos ni de las infracciones cometidas con anterioridad a
su aceptación del cargo. Si la empresa continúa su actividad deberá estar atenta de que
no se incumple la normativa y, si es preciso, advertir a la concursada para que se
adecúe.
•
Sí es responsable de su propios actos y si su actuación finaliza con la liquidación
de los bienes de la empresa se deberán proteger los datos de carácter personal
asegurándose de que no son abandonados ni entregados a un tercero en ningún
soporte, ni informático ni en papel.
13