AI-00153-2023

1/4  Expediente N.º: EXP202302843 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 25 de enero de 2023, se presentaron dos reclamaciones iguales ante la Agencia Española de Protección de Datos contra PAPERNEST INTERNATIONAL, S.L. con NIF B67185165 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: Ambas reclamantes exponen que, tras finalizar de manera voluntaria su relación laboral con la mercantil reclamada, realizaron una entrevista donde manifestaron los motivos de su dimisión a la responsable de RRHH, creyendo que la conversación se produciría dentro de la más absoluta confidencialidad y que, con posterioridad, recibieron un mensaje a través de WhatsApp de su superior manifestándole su descontento con las opiniones vertidas. Aportan captura de la conversación de WhatsApp, de fecha 30 de agosto de 2022. Por otro lado, reclaman porque la empresa continúa usando sus correos electrónicos corporativos, donde figuran sus nombres (***EMAIL.1 y ***EMAIL.2), a pesar de que solicitaron expresamente su baja. Aportan fotografía donde se visualiza el encabezamiento de un correo electrónico que contiene su nombre, A.A.A., sobre la dirección electrónica ***EMAIL.1, que según exponen, usa otra persona. Aportan solicitud de acceso, de fecha 22 de septiembre de 2022 pidiendo, en particular, que se le informe si el correo electrónico que le asignó la empresa sigue activo y, en su caso, qué uso se le está dando y por parte de quién. También solicitan expresamente que se les informe del nombre de la persona que ha facilitado acceso al contenido de la entrevista que mantuvo con la responsable de RRHH, con motivo de su salida de la empresa. Aportan la respuesta de la empresa reclamada a sus solicitudes de acceso, de fecha 19 de octubre de 2022, donde contestan que solo mantienen los datos necesarios para completar la declaración de la renta de 2022 con Hacienda: nombre y apellidos, nóminas del año 2022, número de la Seguridad Social y su DNI. Asimismo, le indican que han eliminado toda la información que ya no necesitan. En la respuesta no se hace referencia alguna a la dirección de correo electrónico corporativa (***EMAIL.2). SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 8 de marzo de 2023, como consta en el certificado que obra en el expediente. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 25 de abril de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la LOPDGDD, es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Legitimación para el tratamiento Para que se pueda llevar a cabo lícitamente ese tratamiento tiene que cumplirse lo establecido en el artículo 6.1 del RGPD, que indica: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
6. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4
7. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
8. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
9. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” III Ejercicio del derecho de acceso Las reclamaciones se refieren, en primer lugar, a la falta de atención del ejercicio del derecho de acceso solicitado. Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. Conforme a lo establecido en el artículo 15 del RGPD y artículo 13 de la LOPDGDD, “el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales”. En el supuesto aquí analizado, las reclamantes, en primer lugar, solicitaban el acceso a sus datos, fines el tratamiento… Asimismo, preguntaban si el correo electrónico de la empresa asignado a ellas seguía activo y, por último, a quien habían informado de la entrevista con RRHH. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 La contestación de la parte reclamada recoge lo señalado en la normativa referenciada. No hace referencia a la utilización del correo de empresa ni a la difusión en la empresa de la entrevista con RRHH en la que explican el motivo de su marcha d la empresa. En este sentido, hay que señalar que no hay constancia del uso del correo empresarial de las reclamantes con posterioridad a dejar la empresa reclamada. En cuanto a la información por parte de recursos humanos a la superiora de las reclamantes del motivo de dejar la empresa, se produce el tratamiento de la información en el marco laboral, informando a la jefa de las reclamantes del motivo de abandonar la empresa, relacionado con la propia forma de trabajo de esta superiora. Es decir, el tratamiento de esos datos laborales es necesario para conocer las causas de la extinción de la relación laboral de las reclamantes, siendo causa legitimadora de ese tratamiento, conforme establece el artículo 6.1.
10. b)del RGPD. No se ha perdido la confidencialidad a la que está obligada la empresa y las personas que tratan datos (RRHH) ya que se han usado en el marco laboral. IV Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. De conformidad con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a PAPERNEST INTERNATIONAL, S.L., y a las partes reclamantes. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
11. c)de la LPACAP, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-020323 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es