AI-00378-2023

1/4  Expediente N.º: EXP202313012 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 21 de agosto de 2023, se presentó reclamación con número de registro de entrada REGAGE23e00056221769 ante la Agencia Española de Protección de Datos contra SINDICAT CATAC-CTSC con NIF G61762241 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: El reclamante, delegado sindical del sindicato al que reclama, indica que éste suspendió unilateralmente la sección sindical que representaba el reclamante en el Hospital Universitario de Bellvitge. Además, el sindicato cambió las contraseñas de acceso a la cuenta de correo de la sección y al espacio de almacenamiento en la nube, sin avisar con antelación. Derivado de lo anterior, el reclamante no pudo descargar documentos privados e información que disponía en esa cuenta. Además, al cerrar la cuenta, el reclamante no ha podido contactar con otros trabajadores y afiliados al sindicato. Junto a su reclamación aporta: - Correo electrónico del reclamante (desde su correo personal) al correo del sindicato solicitando acceso temporal a la cuenta corporativa para recuperar algunos documentos personales, con fecha de 19 de junio de 2023. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogido por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 10/10/2023, como consta en el certificado que obra en el expediente. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se realizó un intento adicional de notificación por correo postal, conforme a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/4 lo dispuesto en el artículo 42 de la LPACAP, envío que resultó "Devuelto a Origen por sobrante (No retirado en Oficina)" en fecha 2 de noviembre de 2023, tras dos intentos de entrega infructuosos los días 23 y 24 de octubre de 2023. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 8 de noviembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos (SGID) procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. En el marco de las mencionadas actuaciones previas de investigación, se requirió a SINDICAT CATAC-CTSC que aportara información relativa a la política de uso de las cuentas de correo de las secciones sindicales, así como del espacio de almacenamiento en nube y teléfonos indicando quién tiene acceso a estos recursos, qué información se puede almacenar y para qué usos están destinados. Además, de lo anterior, se requiere que informe sobre cómo se informa a los usuarios de estos recursos del uso que pueden hacer de los mismos y las acciones que se realizan en caso de verificar que estos recursos se utilizan para actividades particulares y que contienen documentación con datos personales ajenos a la actividad sindical. Para el caso concreto de la sección sindical en el Hospital Universitario de Bellvitge (HUB), se ha requerido a la parte reclamada que informe si al cambiar la contraseña de acceso al correo y al espacio de almacenamiento en nube se detectaron documentos particulares de A.A.A. y, en caso afirmativo, qué tratamientos se han realizado con los mismos y si se ha tenido acceso a los contactos y mensajes de WhatsApp del teléfono en uso por el reclamante y tratamientos realizados con estos datos. Asimismo, si consta el ejercicio del derecho de acceso o cancelación de datos efectuado por el reclamante y, en caso afirmativo, detalle del procedimiento para atenderlo y copia de la información facilitada en su día a A.A.A. del uso que podía hacer de estos recursos. El requerimiento de información fue remitido por correo postal constando como entregado en fecha 05/12/2023. Ante la falta de respuesta de la parte reclamada, la SGID reiteró el requerimiento anterior, del que constan dos intentos de entrega en fechas 12/02/2024 y 13/02/2024, siendo el resultando de ambos “Ausente. Aviso en el buzón”, no habiendo sido retirado de la oficina. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/4 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del RGPD confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la LOPDGDD, es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." III Conclusión Los hechos objeto de reclamación se dirigen contra SINDICAT CATAC-CTSC por la suspensión la sección sindical que representaba el reclamante en el Hospital Universitario de Bellvitge, cambiar las contraseñas de acceso a la cuenta de correo de la sección y al espacio de almacenamiento en la nube, sin avisar con antelación y, de esta manera, impedir que la parte reclamante pudiera descargar documentos privados e información que disponía en esa cuenta, así como contactar con otros trabajadores y afiliados al sindicato. A la vista de la documentación presentada, no queda acreditado que la parte reclamada haya recibido la solicitud de la parte reclamante de acceso temporal a su cuenta de correo corporativo con el fin de poder descargar la documentación de carácter personal que tenía almacenada en la bandeja de entrada y en Google drive y que fue realizada el 19/06/2023, desde su dirección de correo privada. En consecuencia, teniendo en cuenta que se desconocen las causas que han motivado la incidencia,no se aprecian elementos suficientes que permitan afirmar que se ha producido una infracción de la normativa de protección de datos por la parte reclamada. Se hace necesario señalar que, al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización, pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia. En definitiva, aquellos principios impiden imputar una infracción administrativa cuando no se haya obtenido y acreditado una prueba de cargo acreditativa de los hechos que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/4 motivan esta imputación o de la intervención en los mismos del presunto infractor, aplicando el principio “in dubio pro reo” en caso de duda respecto de un hecho concreto y determinante, que obliga en todo caso a resolver dicha duda del modo más favorable al interesado. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir la comisión de infracción a la parte reclamada de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a SINDICAT CATAC-CTSC y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
3. c)de la LPACAP y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-301023 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es