1/6 Expediente N.º: EXP202406436 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 10 de abril de 2024 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a GRUPO BARREIRO AUTOMOCIÓN, S.L. con NIF B15060106 (en adelante, BARREIRO AUTOMOCIÓN o la parte reclamada). Los hechos que se pone en conocimiento de esta autoridad son: La parte reclamante señala que la empresa reclamada, en la que trabaja, ha creado 2 grupos de WhatsApp, uno de trabajo del centro de trabajadores de (…), al que se envían avisos de recogidas y entrega de rutas, formado solo por 6 trabajadores del mismo centro, y otro, de la central de (…) con 211 personas que “ni nos conocemos, ni donde se habla cosas de trabajo ni donde se manda información relevante para nuestro trabajo ni empresa, pero donde si se puede ver el teléfono y demás de toda la plantilla de España.” Junto al escrito, se aportan dos capturas de pantalla, una en la que consta un grupo de WhatsApp formado por 211 usuarios y otra que refleja la creación del grupo de WhatsApp “***GRUPO.1”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a BARREIRO AUTOMOCIÓN, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en fecha 26/04/2024 como consta en el acuse de recibo que obra en el expediente. Con fecha 27/05/2024 se recibe en esta Agencia escrito de respuesta indicando lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/6 - Sobre el primer grupo de whatsapp al que se refiere la reclamación, el reclamante no aporta captura de pantalla de este grupo, sólo aporta capturas de pantalla del grupo denominado ***GRUPO.1. Sostiene que debido al gran volumen de entregas y recogidas de mercancías que la Compañía gestiona a diario en cada una de las delegaciones que ostenta a nivel nacional, se considera que el proceso productivo tendría una mayor optimización si el personal que forma parte del equipo de reparto está organizado bajo canales de comunicación a tiempo real. Prueba de ello ha sido la implementación de unos grupos de WhatsApp corporativos, utilizados con un único objetivo - la comunicación optimizada en tiempo real – y como una herramienta corporativa eficaz y eficiente que sirve para dotar de multitud de ventajas a la Compañía y a los propios trabajadores. - Respecto del segundo grupo que se identifica en la reclamación como “de la central (…), con 211 personas que no se conocen en la que no se habla ni se envía información relevante sobre trabajo”, la parte reclamada aduce que el grupo se denominó ***GRUPO.1, que la finalidad de este grupo era meramente laboral y relacionada con el trabajo y la pervivencia activa del grupo fua la mínima indispensable. A día de la fecha ya no existe el grupo. TERCERO: Con fecha 13 de junio de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Licitud del tratamiento Según explica la Guía de asuntos laborales de la AEPD: “Son datos personales los que permiten a la empresa localizar a las personas trabajadoras y contactar con ellas, como el domicilio, la dirección de correo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/6 electrónico, el número de teléfono (fijo y/o móvil) o la cuenta bancaria. En general, parece necesario para la ejecución del contrato que el empleador disponga de alguna vía de comunicación con las personas trabajadoras, y es imprescindible que la persona trabajadora proporcione a la empresa alguna forma de contacto. Sin embargo, el contrato de trabajo no legitima a la empresa para solicitar a la persona trabajadora todos esos datos, como ha puesto de manifiesto el Tribunal Supremo en relación con la dirección de correo electrónico o el número de teléfono personal (STS 4086/2015, de 21 de septiembre, Sala de lo Social). Es decir, la necesidad del tratamiento habrá de ponderarse caso a caso. Para ello, será necesario analizar en cada caso la base jurídica alegada –que podría ser el contrato de trabajo, el consentimiento o el interés legítimo del empleador-, la finalidad pretendida y los datos tratados.” El Tribunal de Justicia ha declarado reiteradamente que “todo tratamiento de datos personales debe ser conforme con los principios relativos al tratamiento de datos enunciados en el artículo 5, apartado 1, del RGPD y debe cumplir las condiciones de licitud del tratamiento enumeradas en el artículo 6 de ese Reglamento [sentenciade 4 de mayo de 2023, Bundesrepublik Deutschland (Buzón electrónico judicial), C-60/22, EU:C:2023:373, apartado 57 y jurisprudencia citada]. Los principios relativos al tratamiento de datos de carácter personal se regulan en el artículo 5 del RGPD donde se establece que “los datos personales serán: “
- a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);
- b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);
- d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);
- e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/6 de medidas técnicas confidencialidad»).” u organizativas apropiadas («integridad y Por su parte, el artículo 6.1 del RGPD, recoge las bases de legitimación e indica lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " Los hechos puestos de manifiesto en la presente reclamación se materializan en que la parte reclamada habría incluido a la parte reclamante en un grupo de WhatsApp formado únicamente por los 6 trabajadores de su centro de trabajo al que se envían avisos de recogidas y entrega de rutas. Pero habría creado otro con 211 personas que “ni nos conocemos, ni donde se habla cosas de trabajo ni donde se manda información relevante para nuestro trabajo ni empresa, pero donde si se puede ver el teléfono y demás de toda la plantilla de España.” La creación por el empleador de un grupo de WhatsApp con los números de teléfono particulares de los trabajadores debe contar con una base de legitimación y cumplir con los principios de protección de datos. Se ha de tener en cuenta que los integrantes de los grupos tienen acceso a la información personal de los demás compañeros, por eso en este supuesto es de destacar, además del principio de minimización de datos, el principio de confidencialidad, el cual, según se desprende de las manifestaciones de la parte reclamante, habría incumplido la parte reclamada con la creación del grupo “***GRUPO.1”. Ahora bien, la parte reclamada ha manifestado que la pervivencia activa del grupo fue la mínima indispensable y que a día de la fecha ya no existe el grupo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/6 Por ello, se considera que no procede el inicio de un procedimiento sancionador, de conformidad con el artículo 65.6 de la LOPDGDD, que dispone lo siguiente: 6. Tras la admisión a trámite, si el responsable o encargado del tratamiento demuestran haber adoptado medidas para el cumplimiento de la normativa aplicable, la Agencia Española de Protección de Datos podrá resolver el archivo de la reclamación, cuando en el caso concreto concurran circunstancias que aconsejen la adopción de otras soluciones más moderadas o alternativas a la acción correctiva, siempre que no se hayan iniciado actuaciones previas de investigación o alguno de los procedimientos regulados en esta ley orgánica. En este sentido, conviene hacer mención al carácter excepcional del procedimiento sancionador, del que deriva que -siempre que sea posible- deberá optarse por la prevalencia de mecanismos alternativos en el caso de que tengan amparo en la normativa vigente, tal y como ocurre en este caso. En síntesis, deben traerse a colación los principios aplicables al procedimiento sancionador. La AEPD ejerce la potestad sancionadora de oficio. Por tanto, es competencia exclusiva de la AEPD valorar si existen responsabilidades administrativas que deban ser depuradas en un procedimiento sancionador y, en consecuencia, la decisión sobre su apertura, no existiendo obligación de iniciar un procedimiento ante cualquier petición realizada por tercero. Tal decisión ha de basarse en la existencia de elementos que justifiquen dicho inicio de la actividad sancionadora, circunstancias que no concurren en el presente caso, a la vista de las actuaciones realizadas, por lo que procede el archivo de la reclamación. De acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución AUTOMOCIÓN, S.L. y a la parte reclamante. a GRUPO BARREIRO De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/6 Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es