← España

AI-00366-2024

1/8  Expediente N.º: EXP202407970 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos (en adelante, AEPD) y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 17 de mayo de 2024 se presentó reclamación ante la Agencia Española de Protección de Datos contra la ***ASOCIACIÓN.1 con NIF ***NIF.1 (en adelante, la parte reclamada o ***ASOCIACIÓN.1). Los motivos en que basa la reclamación son los siguientes: Los hechos que se pone en conocimiento de esta autoridad son: La parte reclamante manifiesta que la entidad reclamada ha utilizado sus datos y firma, sin mediar su consentimiento, para inscribirle en cursos ofrecidos bajo el programa ERASMUS +, obteniendo un rendimiento económico por esa inclusión no autorizada. Aporta listados de cursos en los que aparecen los datos de la parte reclamante ligados a distintas firmas. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la ***ASOCIACIÓN.1, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en fecha 31/05/2024 como consta en el acuse de recibo que obra en el expediente. Con fecha 03/06/2024 se recibe en esta Agencia escrito de respuesta indicando que habían recibido una notificación (Expediente N.º: EXP202407970) en la que se reclamaba, por la parte reclamante, que se habían utilizado sus datos y firma, sin mediar su consentimiento, para inscribirle en cursos ofrecidos bajo el programa ERASMUS. Indican que la parte reclamante ha sido trabajador de la asociación desde el 7 de enero del 2022. En este tiempo ha ocupado el puesto de Monitor de Ocio y Tiempo libre, y posteriormente, Técnico Especialista, para la gestión y coordinación de proyectos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/8 Indican que la parte reclamante ha estado informada y ha ofrecido su consentimiento para aparecer en dichas hojas de firmas en todo momento. Añaden que durante los dos años y medio que la parte reclamante ha trabajado en la ASOCIACIÓN nunca había trasladado su desconformidad ni inconveniente al respecto, y solamente cuando se ha procedido a comunicarle su despido por causas económicas ha comenzado a buscar la manera de hacer daño a la asociación. TERCERO: Con fecha 17 de agosto de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con carácter previo al inicio de las presentes actuaciones de investigación se observa en la documentación aportada por la parte reclamante “Listas ocultas.pdf” gran disparidad de las firmas de la parte reclamante en el registro de firmas de los diferentes cursos. Requerido a la parte reclamada que presentara en esta Agencia las solicitudes de inscripción a los diferentes proyectos y el consentimiento de la parte reclamante para el tratamiento de sus datos personales para ese fin, con fecha de 25 de septiembre de 2024 se recibe en esta Agencia, escrito de contestación remitido por esta parte realizando, entre otros asuntos, las siguientes manifestaciones relevantes: - A.A.A. estuvo empleado en la Asociación (…). - Al inicio de su relación laboral, la parte reclamante firmó un Documento de Confidencialidad y Consentimiento para el Tratamiento de Datos Personales donde se le informó sobre el uso de sus datos en el ámbito laboral y otorgó su consentimiento explícito. - Durante los dos años de su relación laboral, A.A.A. fue plenamente consciente y participó activamente en las prácticas habituales de la Asociación, incluyendo el uso de su nombre y firma en documentación relacionada con los proyectos gestionados. No consta que haya ejercido su derecho de oposición ni manifestada disconformidad alguna. - Durante su tiempo en la Asociación, A.A.A. participó activamente en las actividades mencionadas, siendo consciente y aprobando el uso de sus datos personales y firma en los documentos necesarios para el desarrollo de los proyectos. - Tras el análisis de la reclamación, concluimos que el tratamiento de los datos personales de la parte reclamante ha sido lícito y conforme a la normativa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/8 vigente, basado en el Artículo 6.1.

  1. b)del RGPD, que establece que el tratamiento es lícito cuando es necesario para la ejecución de un contrato en el que el interesado es parte, en este caso, su contrato laboral con nuestra asociación, siendo los datos personales utilizados exclusivamente para fines relacionados con sus funciones laborales como coordinador de proyectos, incluyendo su participación en actividades del programa ERASMUS+. Presentan los siguientes documentos significativos: - Copia del contrato de trabajo firmado por la parte reclamante el 7 de enero de 2022. - Contrato de trabajo firmado con fecha de 7 de enero de 2022. - Documento de Confidencialidad y consentimiento con fecha de 7 de enero de 2022. En el citado Documento de Confidencialidad y Consentimiento, no consta específicamente el consentimiento de la parte reclamante para la incorporación de sus datos de carácter personal en las fichas de participación de proyectos ERASMUS, aunque dadas sus funciones laborales, esta participación podría estar implícita en ellas. Solo consta en este documento el consentimiento para el tratamiento para las diferentes funciones del departamento de Recursos Humanos y para diferentes actuaciones en materia de marketing y visibilidad de la parte reclamada. Se observa en todas las páginas firmadas de este documento que esta firma ha sido insertada digitalmente al encontrase trazos exactamente iguales y puntos negros en las mismas posiciones procedentes de digitalización de la firma mediante escaneo de ésta. Respecto al conocimiento y aceptación por la parte reclamante de lo que la parte reclamada señala como “prácticas habituales de la asociación” únicamente se dispone de las manifestaciones de la parte reclamada. Señalan también la adopción de las siguientes medidas a partir del 15 de septiembre de 2024: - Revisado y actualizado las Políticas de Protección de Datos y Confidencialidad, incorporando cláusulas más detalladas sobre el tratamiento de datos personales en actividades específicas, conforme al Artículo 24 del RGPD. - Establecimiento de procedimientos para obtener consentimientos adicionales y específicos por escrito cuando se utilicen datos personales en actividades que puedan exceder las funciones habituales del puesto. - Se han llevado a cabo sesiones de formación y concienciación para todos los empleados sobre sus obligaciones y responsabilidades en materia de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/8 - Realización de una revisión y actualización de la documentación de los proyectos para asegurar que el tratamiento de datos personales cumple con el principio de minimización. - Establecimiento de controles periódicos para verificar la eficacia de las medidas implementadas, con revisiones programadas cada seis meses, siendo la próxima en marzo de 2025. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
  2. f)y
  3. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento El primer apartado del artículo 6 del RGPD establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  4. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  5. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  6. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  7. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  8. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  9. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/8 interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  10. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " III Conclusión El considerando 129 del RGPD indica que “[…] Los poderes de las autoridades de control deben ejercerse de conformidad con garantías procesales adecuadas establecidas en el Derecho de la Unión y los Estados miembros, de forma imparcial, equitativa y en un plazo razonable. En particular, toda medida debe ser adecuada, necesaria y proporcionada con vistas a garantizar el cumplimiento del presente Reglamento, teniendo en cuenta las circunstancias de cada caso concreto…” La sentencia del Tribunal de Justicia de la Unión Europea (STJUE) de 26/09/2024, en el asunto C-768/2021, señala (el subrayado es de la AEPD): “37 A este respecto, ha de señalarse que el RGPD deja a la autoridad de control un margen de apreciación en cuanto a la manera en que debe subsanar la deficiencia constatada, puesto que el artículo 58, apartado 2, del mismo confiere a dicha autoridad la facultad de adoptar diversas medidas correctoras. Así, el Tribunal de Justicia ya ha declarado que la elección del medio adecuado y necesario corresponde a la autoridad de control, que debe realizar tal elección tomando en consideración todas las circunstancias del caso concreto y cumpliendo con toda la diligencia requerida su misión consistente en velar por el pleno respeto del RGPD (véase, en este sentido, la sentencia de 16 de julio de 2020, Facebook Ireland y Schrems, C311/18, EU:C:2020:559, apartado 112). 38 Sin embargo, este margen de apreciación está limitado por la necesidad de garantizar un nivel coherente y elevado de protección de los datos personales mediante una aplicación rigurosa de las normas, como se desprende de los considerandos 7 y 10 del RGPD. 39 Por lo que se refiere, más concretamente, a las multas administrativas contempladas en el artículo 58, apartado 2, letra i), del RGPD, del artículo 83, apartado 2, de este Reglamento resulta que aquellas se imponen, según las características propias de cada caso, con carácter adicional o en sustitución de las demás medidas previstas en el citado artículo 58, apartado 2. Además, ese mismo artículo 83, apartado 2, precisa que, al decidir la imposición de una multa administrativa y su cuantía en cada caso individual, la autoridad de control debe tener debidamente en cuenta los elementos que figuran en las letras
  11. a)a
  12. k)de esta disposición, como la naturaleza, la gravedad y la duración de la infracción” (…) “41 En consecuencia, no puede deducirse ni del artículo 58, apartado 2, del RGPD ni del artículo 83 de este la existencia de una obligación a cargo de la autoridad de control de adoptar, en todos los casos, cuando constate una violación de la seguridad de datos personales, una medida correctora, en particular una multa administrativa, siendo su obligación, en tales circunstancias, reaccionar adecuadamente para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/8 subsanar la deficiencia constatada. (…) En estas circunstancias, como señaló el Abogado General en el punto 81 de sus conclusiones, el autor de una reclamación cuyos derechos han sido vulnerados no dispone de un derecho subjetivo a que la autoridad de control imponga una multa administrativa al responsable del tratamiento. (…)” “43 A este respecto, no se excluye que, con carácter excepcional y habida cuenta de las circunstancias particulares del caso concreto, la autoridad de control pueda abstenerse de adoptar una medida correctora aunque se haya constatado una violación de la seguridad de datos personales. Tal puede ser el caso, en particular, cuando la violación constatada no haya persistido, por ejemplo cuando el responsable del tratamiento, que, en principio, había aplicado medidas técnicas y organizativas apropiadas en el sentido del artículo 24 del RGPD, haya adoptado, tan pronto como haya tenido conocimiento de dicha violación, las medidas adecuadas y necesarias para que la violación finalice y no vuelva a producirse, habida cuenta de las obligaciones que le incumben, en particular, en virtud de los artículos 5, apartado 2, y 24 del mencionado Reglamento. 44 La interpretación según la cual la autoridad de control, cuando constata una violación de la seguridad de datos personales, no está obligada a adoptar en todos los casos una medida correctora con arreglo al artículo 58, apartado 2, del RGPD se ve corroborada por los objetivos perseguidos por este artículo 58, apartado 2, y por el artículo 83 de dicho Reglamento, respectivamente. 45 Por lo que respecta al objetivo perseguido por el artículo 58, apartado 2, del RGPD, del considerando 129 de este se desprende que esta disposición tiene por objeto garantizar la conformidad del tratamiento de datos personales con dicho Reglamento y la regularización de las situaciones de incumplimiento de este para que se ajusten al Derecho de la Unión, mediante la intervención de las autoridades de control nacionales (sentencia de 14 de marzo de 2024, Újpesti Polgármesteri Hivatal, C46/23, EU:C:2024:239, apartado 40). 46 De lo anterior se infiere que la adopción de una medida correctora puede, con carácter excepcional y habida cuenta de las circunstancias particulares del caso concreto, no imponerse, siempre que la situación de infracción del RGPD ya haya sido subsanada y que se garantice la conformidad de los tratamientos de datos personales con dicho Reglamento por su responsable y que tal abstención de la autoridad de control no menoscabe la exigencia de una aplicación rigurosa de las normas, tal como se ha recordado en el apartado 38 de la presente sentencia.” El TJUE incide, por tanto, en el margen de apreciación que tienen las autoridades de control para, en el ejercicio de sus funciones, desarrollar y optar entre los poderes atribuidos por el artículo 58 del RGPD, teniendo en cuenta las circunstancias del caso concreto, así como velando por el pleno respeto del RGPD. La consigna que debe regir siempre la actuación de una autoridad de control es asegurar un nivel alto de protección de los datos personales. Así, cabe que, aun cuando se hubiera constatado o se tuvieran indicios de que se ha producido una vulneración en materia de protección de datos, las autoridades de control se abstengan de ejercitar sus poderes correctivos cuando esta presunta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/8 infracción hubiera sido subsanada y se garantice la conformidad de los tratamientos de datos personales con el RGPD. Lo señalado por el TJUE en la sentencia antes citada, refuerza la idea de proporcionalidad de actuación de las autoridades de control que se recoge, con anterioridad a que fuera dictada la mencionada sentencia, en los artículos 65.4 y 65.6 de la LOPDGDD, por los que se permite a la AEPD, en atención a las circunstancias del caso concreto, la inadmisión a trámite o el archivo de reclamaciones, cuando, tras el traslado de las mismas al responsable del tratamiento, éste demostrara haber adoptado medidas para el cumplimiento de la normativa aplicable. En el presente caso, los hechos que impulsaron el inicio de actuaciones previas de investigación conforme al artículo 67 de la LOPDGDD, tras la recepción de una reclamación por la AEPD, se referían a la inscripción sin que mediara ninguna base que legitimara este tratamiento, en cursos ofrecidos bajo el programa ERASMUS+ por parte de la parte reclamada. Durante las actuaciones previas de investigación se ha comprobado que la parte reclamante había ocupado (…). Asimismo, la parte reclamada añade que la parte reclamante fue plenamente consciente y participó activamente en las prácticas habituales de la Asociación, incluyendo el uso de su nombre y firma en documentación relacionada con los proyectos gestionados, sin que hubiera ejercido su derecho de oposición ni manifestada disconformidad alguna, participando activamente en las actividades mencionadas. Asimismo, manifiestan haber adoptado las siguientes medidas a partir del 15 de septiembre de 2024: - Revisado y actualizado las Políticas de Protección de Datos y Confidencialidad, incorporando cláusulas más detalladas sobre el tratamiento de datos personales en actividades específicas, conforme al Artículo 24 del RGPD. - Establecimiento de procedimientos para obtener consentimientos adicionales y específicos por escrito cuando se utilicen datos personales en actividades que puedan exceder las funciones habituales del puesto. - Se han llevado a cabo sesiones de formación y concienciación para todos los empleados sobre sus obligaciones y responsabilidades en materia de protección de datos. - Realización de una revisión y actualización de la documentación de los proyectos para asegurar que el tratamiento de datos personales cumple con el principio de minimización. - Establecimiento de controles periódicos para verificar la eficacia de las medidas implementadas, con revisiones programadas cada seis meses, siendo la próxima en marzo de 2025. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/8 En consecuencia, de conformidad con la citada sentencia STJUE y atendiendo a las singulares circunstancias que conforman este caso, esta Agencia considera que no procede el despliegue de sus poderes correctivos previstos en el artículo 58 del RGPD. Por tanto, de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la ***ASOCIACIÓN.1 y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.