E-10569-2020

1/5  Procedimiento Nº: E/10569/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por Dña. A.A.A., con NIF ***NIF.1 (en adelante, el reclamante) tiene entrada con fecha ***FECHA.1 en la Agencia Española de Protección de Datos. La reclamación se dirige contra la CONFEDERACION GENERAL DEL TRABAJO, con CIF G79196614 (en adelante, el reclamado). Los motivos en que basa la reclamación son que las reclamantes, afiliadas al citado sindicato, manifiestan que se han difundido sus datos para una finalidad distinta para la que fueron recogidos, sin contar con el consentimiento de las afectadas. SEGUNDO: Tras la recepción de la reclamación, la Subdirección General de Inspección de Datos procedió a realizar las siguientes actuaciones: El 12/08/2020, fue trasladada al reclamado la reclamación presentada para su análisis y de la decisión adoptada al respecto. Igualmente, se le requería para que en el plazo de un mes remitiera a la Agencia determinada información: - Copia de las comunicaciones, de la decisión adoptada que haya remitido al reclamante a propósito del traslado de esta reclamación, y acreditación de que el reclamante ha recibido la comunicación de esa decisión. - Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. - Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares. - Cualquier otra que considere relevante. El 11/09/2020, en respuesta al requerimiento de información, el reclamado señaló que un grupo de afiliadas remitió escrito en el que se afirmaba que decidieron reunirse en Ruesta, elaborando una base de datos para organizar la reunión; que la Secretaría de la organización lanzo una circular donde supuestamente se ataca a dicha reunión y se adjuntaba el fichero que las afiliadas habían elaborado; que se solicitó del responsable del tratamiento que se pronunciara sobre los supuesta vulneración de la normativa sobre protección de datos; que se les envió respuesta señalando que las afiliadas habían convocado la reunión mediante escrito, y aunque la organización era ajena a esa reunión, utilizando logo y siglas de la misma, y sin coordinarse con la portavoz de la organización de la mujer y que con la circular enviada el sindicado pretendía dejar claro que tenía sus mecanismos propios de funcionamiento de obligado cumplimiento para todos los afiliados, adjuntando el listado de asistentes a la reunión al haberlo hecho público las propias afiliadas; que carece de responsabilidad en la incidencia declarada puesto que uso de los datos personales de los afiliados es conforme a la ley puesto que fueron las propias afiliadas las que procedieron a enviar sus datos a las federaciones del sindicato y considera el asunto ajeno a la normativa sobre protección de datos, puesto que los datos recogidos en el listado son los mismos que se recogen C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 cuando una persona es afiliada y en la que se presta el consentimiento; y que el Secretariado de la organización se limitó a reenviar el listado que las propias afiliadas habían enviado a las federaciones. TERCERO: El 17/12/2020, de conformidad con el artículo 65 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II El RGPD en su artículo 5, Principios relativos al tratamiento de datos personales, señala que: “1. Los datos personales serán:

1. a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»); (…) Por otra parte, el artículo 6 del RGPD, Licitud del tratamiento, señala que: “1. El tratamiento solo será licito si se cumplen al menos una de las siguientes condiciones:
2. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; (…)” El artículo 4 del RGPD, Definiciones, en su apartado 11 señala que: “11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen” Y el artículo 7 del citado Reglamento, Condiciones para el consentimiento, señala que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 “1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales. 2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento. 3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo. 4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato”. También el artículo 6, Tratamiento basado en el consentimiento del afectado, de la LOPDGDD, señala que: “1. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen. 2. Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado para una pluralidad de finalidades será preciso que conste de manera específica e inequívoca que dicho consentimiento se otorga para todas ellas. 3. No podrá supeditarse la ejecución del contrato a que el afectado consienta el tratamiento de los datos personales para finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación contractual”. III En el presente caso, un grupo de mujeres afiliadas deciden reunirse en Ruesta en el mes de marzo, por lo que se elabora una base de datos de carácter interno para organizar el evento; el 13/03/2019, la Secretaría de Organización Confederación General del Trabajo hace difusión de una circular a todos los sindicatos del territorio español donde se ataca la reunión de Ruesta, adjuntando el fichero donde se encuentran los nombres y apellidos de las asistentes, hecho que parece tener la finalidad de señalarlas e identificarlas como si la asistencia a dicha reunión fuera una acto deshonroso; que se desconoce como la Secretaría de CGT tenía en su poder un fichero de carácter privado cuya finalidad era organizar el encuentro, y lo peor es que ha hecho difusión de esos datos a los sindicatos del país. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 El propio documento de afiliación señala que el tratamiento tendrá entre otras las siguientes finalidades: “Tramitar su afiliación y la gestión de las relaciones entre el afiliado/a y el Sindicato, para el ejercicio de la acción sindical, así como el ejercicio de los derechos y obligaciones previstas en los Estatutos. Gestión administrativa y de contabilidad. Emisión de recibos de cuota sindical y gestión de su cobro. Envió de publicaciones, eventos, formación e información que afecte a la actividad de CGT y que pueda ser de interés. Elaboración de estadísticas, informes y prestación de servicios en su condición de afiliado/a. Emisión de carnet de afiliación. Si desempeña labores de representación colectiva, los datos serán tratados para la realización y seguimiento de las actividades sindicales amparadas por la legislación vigente. Cualquier documento o archivo, así como su contenido, tipografías o firmas, de carácter personal que de modo voluntario proporcione a la CGT para que actúe en su nombre y/o su representación”. El reclamado ha indicado que se había solicitado por las reclamantes que se pronunciara sobre los supuesta vulneración de la normativa sobre protección de datos, enviándoseles respuesta en las que se les señalaba que las afiliadas habían convocado mediante escrito y de manera ajena a la organización, utilizando el logotipo y las siglas de la misma, sin coordinarse con la portavoz de la organización de la mujer y, además, que con la circular remitida a las federaciones del sindicado, se pretendía dejar claro que tenía sus mecanismos propios de funcionamiento de obligado cumplimiento para todos los afiliados, adjuntando el listado de asistentes a la reunión al haberse hecho público por las propias afiliadas, limitándose el Secretariado de la organización a reenviar el listado que las propias afiliadas habían enviado a las federaciones. Además de lo indicado anteriormente, subyace en el caso examinado que el tratamiento realizado se lleva a cabo en el marco de la actividad sindical y dar a conocer la actividad de un grupo de personas afiliadas al sindicato que pueden ser de interés para el resto. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a Dña. A.A.A., con NIF ***NIF.1 y a la CONFEDERACION GENERAL DEL TRABAJO, con CIF G79196614. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
3. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es