1/13 Expediente N.º: EXP202311989 RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 9 de julio de 2023 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a A.A.A. con NIF ***NIF.1, (en adelante, A.A.A.). Los hechos que se pusieron en conocimiento de esta autoridad fueron los siguientes: El reclamante refiere haber recibido mensajes de correo electrónico remitidos por los delegados de personal de la empresa ***EMPRESA.1, (según éste, los tres delegados de personal representan al sindicato, ***SINDICATO.1), a una pluralidad de destinatarios sin haber hecho uso de la funcionalidad de Copia Oculta (en adelante, CCO), haciendo visibles, por tanto, las direcciones de correo electrónico para todos ellos. El reclamante indica que figuran las direcciones de correo de treinta y dos destinatarios, de las cuales “30 corresponden a e-mails personales” (Gmail). Junto al escrito, aportó: - Documento 1: Captura de pantalla de correo electrónico que el reclamante manifiesta haber recibido, en el que consta la fecha de 7 de julio de 2023, remitido desde la dirección de correo electrónico: “Delegades ***EMPRESA.1 < ***EMAIL.1>” a una pluralidad de direcciones de correo electrónico, (en concreto dieciséis), sin utilizar la función de copia oculta, entre las que figura la dirección de correo-e del reclamante con el dominio Gmail.com, con el asunto: “Convocatoria de Asamblea”, cuyo contenido es relativo a la convocatoria de la asamblea. En el pie del correo consta de forma literal: “Salutations. Delegades de Personal. B.B.B., B.B.B., C.C.C.”. - Documento 1b: Captura de pantalla que amplía el correo-e indicado en el párrafo anterior, (mismo correo electrónico), en el que consta otras dieciséis direcciones de correo electrónico más, diferentes a las del correo anterior. - Documento 2: Captura de pantalla de segundo correo electrónico que manifiesta haber recibido el reclamante, en el que consta la fecha de 7 de julio de 2023, remitido desde la dirección de correo electrónico: “Delegades ***EMPRESA.1 < ***EMAIL.1> a una pluralidad de direcciones de correo electrónico, (en concreto dieciséis), sin utilizar la función de copia oculta, entre las que figura la dirección de correo-e del reclamante con el dominio Gmail.com, con el asunto: “Localización: Convocatoria de Asamblea”, cuyo contenido se refiere a la localización donde tendrá lugar la asamblea: “(..) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/13 (…)”, así como a las fechas y horarios de las dos sesiones que van a tener lugar y, en cuyo pie de firma consta, de manera literal, lo siguiente: “Salutations. Delegades de Personal. A.A.A. B.B.B., C.C.C.”. - Documento 2b: Captura de pantalla que amplía el correo-e mencionado en el párrafo anterior, (mismo correo electrónico), en el que consta otras dieciséis direcciones de correo electrónico más, diferentes a las del correo anterior. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 11 de septiembre de 2023 se dio traslado de dicha reclamación a (…) (***SINDICATO.1) con ***NIF.2, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 12 de septiembre de 2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 21 de septiembre de 2023 se recibió en esta Agencia, en tiempo y forma, escrito de respuesta de ***SINDICATO.1, en el que indicó que: “(…) se establece territorialmente en Uniones de Comunidad Autónoma (UCA) y está integrada por tres Federaciones estatales que se constituyen en el ámbito del estado español para agrupar a las trabajadoras y a los trabajadores asalariados de los diferentes sectores económicos. Cada uno de estos organismos tiene su propio CIF y responsabilidades en el tratamiento de la información sensible y datos de carácter personal. Las Secciones Sindicales u organismos de representación de las trabajadoras y los trabajadores en las empresas y centros de trabajo son parte organizativa de las Federaciones. Tal y como se puede ver en la reclamación recibida, ésta deriva de una acción cometida por los delegados de personal de (…) en ***EMPRESA.1, siendo la Unión General de Trabajadores de Servicios Públicos (UGT-SP), con CIF G-78085149, la Responsable sectorial de los tratamientos realizados por sus organismos de representación en aquella entidad, y no ***SINDICATO.1 con ***NIF.3, que es quien recibe esta comunicación por parte de la Agencia Española de Protección de Datos. TERCERO: El 26 de septiembre del 2023, esta Agencia trasladó la reclamación a FEDERACIÓN DE SERVICIOS PÚBLICOS DE LA UGT (FSP-UGT) con NIF G78085149 para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en LPACAP, fue recogido en fecha 27 de septiembre de 2023 como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/13 Con fecha 16 de octubre de 2023 se recibió en esta Agencia, en tiempo y forma, escrito de respuesta de FSP-UGT, en el que manifestó, en síntesis, que: - “(..) El correo electrónico remitido, y que es objeto de dicha reclamación, se realiza desde un dominio ajeno a la Organización UGT Servicios Públicos (***EMAIL.1)”. “No ha sido autorizado por nuestro sindicato en ningún momento el uso del servicio GMAIL por parte de la representación sindical a la que se le reclama. Es en esta plataforma donde constan y son archivadas por los delegados de personal reclamados todas las direcciones de correo-e de los destinatarios, no siendo esta una base de datos ni listado formal y oficialmente conocido ni autorizado por nuestro sindicato”. “UGT Servicios Públicos ha comunicado en diversas ocasiones a sus usuarios, y así lo refleja en sus políticas internas, que no se hace responsable de todas las acciones que se lleven a cabo por sus personas trabajadoras y colaboradoras desde recursos personales o no corporativos (ya sean correos electrónicos, números de teléfono, perfiles en redes sociales, sitios web no oficiales, etc)”. “(…)” “(...)” “Si bien es cierto que los delegados de personal reclamados han sido legalmente elegidos para la entidad ***EMPRESA.1, y que forman parte de nuestro sindicato UGT, tenemos que indicar que, en su función, los delegados de personal no actúan en todo momento en nombre y representación del sindicato. El delegado de personal representa a los trabajadores a nivel interno, es elegido por los propios trabajadores a través de sus elecciones, y su ámbito de representación se limita a los empleados de su empresa. Mientras que los delegados sindicales representan a los empleados, pero en una función más global, estrictamente en misión del sindicato al que pertenecen, son elegidos por el sindicato y, además de representar los intereses de los trabajadores, también participan activamente en negociaciones, estrategia sindical, etc. En este sentido, queremos señalar que las dos asambleas convocadas a través del correo electrónico que es objeto de la presente reclamación no provenían de ninguna instrucción directa del sindicato”. “Nuestro sindicato es conocedor y proactivo en el correcto y riguroso cumplimiento normativo. Por ello, contamos con procedimientos, protocolos, registros y guías de actuación internas en las que se determinan las pautas y límites con los que debe ejecutarse la actividad sindical concedida por la LOLS en el ámbito de la empresa sin vulnerar la intimidad o privacidad de ningún ciudadano”. “Entre otros, en todos los ámbitos y a través de todos los medios con los que cuenta la Organización, se recuerda siempre la importancia de utilizar la función de CCO para todos los comunicados oficiales que se remitan desde nuestro sindicato a listados de varios destinatarios, conociendo la importancia de mantener la confidencialidad de cada una de sus cuentas de correo electrónico, máxime si se trata de cuentas de correo electrónico personales y privadas”. “De facto es demostrable que desde nuestra Organización se han convocado asambleas y se han remitido correos electrónicos a múltiples destinatarios utilizando la debida función de Copia Oculta”. “No podemos negar ni obviar que la acción cometida y denunciada responde a un acto humano involuntario y no intencionado, aunque en este supuesto concreto, y por las razones anteriormente expuestas, consideramos que no debe ser de responsabilidad imputable directamente a nuestra Organización”. “(…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/13 Finalmente, FSP-UGT, en el escrito de respuesta solicita que: “Que se dé por archivado este Expediente, entendiéndose que no se puede considerar que sea nuestra Organización responsable directa de las acciones reclamadas, manteniendo en cualquier caso nuestro compromiso en la concienciación permanente de nuestros usuarios, así como de seguir trabajando en el riguroso cumplimiento de la Ley”. Junto al escrito de respuesta del traslado de la reclamación, con fecha 16 de octubre de 2023, FSP-UGT aportó: Como “Anexo I”, copia de un documento denominado: “Documentación interna relativa al uso correcto de recursos y funciones de correo-e. Manual de funciones y obligaciones para personas trabajadoras”, que contiene algunos fragmentos del “Manual en protección de datos. Funciones y obligaciones para trabajadores y trabajadoras”. En el apartado “g” del citado documento, se indica que: “Es muy importante utilizar la Copia Oculta (CCO) en la remisión de correos electrónicos a varios destinatarios que no deban ser conocidos por los demás, de forma que cada uno de los receptores del correo electrónico recibido no pueda acceder a los datos de los demás receptores. La infracción de esta práctica es una de las más sancionadas por parte de la AEPD en la actualidad”. En el epígrafe: “Política de uso de dispositivos y recursos digitales en el ámbito laboral”, en el punto. “2.2 Prohibición de uso de dispositivos personales con fines profesionales”, se indica que: “En caso de que sea necesaria, por cualquier situación excepcional, la utilización de dispositivos o recursos de carácter privado de la persona trabajadora para el desempleo de sus funciones laborales, la misma debe ser autorizada previamente por la Organización. En el apartado: “Guía de ayuda para el cumplimiento normativo para organismos de representación en la empresa”, en el punto número siete se indica que: “No se deben utilizar para la actividad sindical cuentas de correo-e no habilitadas o autorizadas expresamente por responsables autorizados del sindicato. Para la remisión de correos-e masivos se debe utilizar siempre la opción Copia Oculta (CCO), de forma que cada uno de los receptores del correo electrónico recibido no pueda acceder a los datos de los demás”. CUARTO: Con fecha 9 de octubre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, la Subdirección General de Datos tuvo conocimiento de los extremos que seguidamente se exponen. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/13 Con fecha 30/1/2024, se solicitó información y documentación mediante sendas notificaciones postales, dirigidas a A.A.A., B.B.B., C.C.C., a la dirección postal que consta en la página web “***WEB.1”, siendo devueltos por el servicio de correos anotando como motivo de la devolución: “Dirección incorrecta”. Como consecuencia de dicha devolución, con fechas 30/1/2024 y 13/3/2024 se enviaron, nuevamente, los requerimientos, incluyendo, en cada uno de los destinatarios, además del nombre, el literal: “(...)” siendo nuevamente devueltos por el servicio de correos anotando como motivo de la devolución: “Dirección incorrecta”. Con fecha 25/4/2024, se solicitó información y documentación, mediante sendas notificaciones postales, dirigidas a A.A.A., B.B.B. y C.C.C., a la dirección postal obtenida de ***EMPRESA.1, siendo devueltos por el servicio de correos anotando como motivo de la devolución: “Desconocido”. Con fecha 22/4/2024, se solicitó a ***EMPRESA.1, mediante notificación electrónica, copia de las actas de nombramiento como delegados de personal de A.A.A., B.B.B. y C.C.C. y otra información y documentación en relación con los hechos reclamados. Con fecha 30/4/2024 tuvo entrada el escrito de respuesta en el que: o Aportaron como documentos acreditativos del nombramiento como delegados de personal, copia de las actas de las elecciones a representantes de los trabajadores con fecha 13/2/2023, en las que se incluyen A.A.A., B.B.B. y C.C.C. como representantes elegidos. (Anexo 1, 2 y 3). o Manifestaron que las direcciones de correo electrónico de los trabajadores que constan en los correos objeto de reclamación constan en los ficheros de personal de ***EMPRESA.1 como correos personales para gestionar la relación laboral con la entidad. También informaron que ninguna de estas direcciones de correo electrónico se llegó a proporcionar nunca a los delegados de personal. o Asimismo, manifestaron, que tuvieron conocimiento de que se utilizaría la dirección de correo electrónico ***EMAIL.1 para este fin, mediante un mensaje de correo electrónico por parte de dicha dirección, del cual adjuntan copia. Con fecha 3/12/2024 se solicitó a A.A.A., mediante notificación postal al domicilio que consta en el Padrón municipal, información sobre los hechos reclamados. Con fecha 6/1/2025, se recibió en esta Agencia, en tiempo y forma, escrito de respuesta, en el que manifestó que: o Respecto al origen de las direcciones de correo destinatarias de los mensajes enviados, manifiesta, que los datos de correos electrónicos destinatarios, fueron facilitados por las personas trabajadoras bien por correo electrónico, o bien facilitando en modo escrito en una lista cada una de las personas que optó por esa segunda opción. Dicha lista se elaboró a petición de las propias trabajadoras en un listado que fueron pasando y rellenando cada una de ellas. Que el propio reclamante rellenó de su puño y letra el correo electrónico de contacto que le permitía usar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/13 a las delegadas para recibir información de las entonces representantes (***EMAIL.1). Aporta copia del mencionado listado, que incluye escrito a mano el nombre y apellidos del reclamante junto a su dirección de correo electrónico (***EMAIL.2). o La creación del correo emisor (***EMAIL.1) fue aprobada por unanimidad, en Acta de Constitución de las Primeras Delegadas de la entidad en fecha 15 de febrero de 2023, siendo delegadas: B.B.B., D.D.D. y E.E.E.. Aportan copia de la citada acta. o La acción que suscita la reclamación aconteció como errata una única vez en toda la trayectoria como delegada sindical y no se volvió a repetir en el mismo tiempo, tomándose así las medidas con copia oculta (CCO) en las comunicaciones con las personas trabajadoras de la entidad. o Desconoce cualquier decisión adoptada a propósito de esta reclamación en tanto que, desde el 20 de agosto de 2023 tras su baja voluntaria, no ha tenido relación alguna con las personas que ostentan el cargo de las personas representantes de los/las trabajadores. SEXTO: Con fecha 9 de abril de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a A.A.A., por la presunta infracción del Artículo 5.1.
- f)del RGPD, tipificada en el Artículo 83.5.
- a)del RGPD. SÉPTIMO: La notificación del citado acuerdo de iniciación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogida en fecha 8 de mayo de 2025 como consta en el acuse de recibo que obra en el expediente. OCTAVO: En fecha 9 de mayo de 2025, se recibe en esta Agencia, en tiempo y en forma, escrito de A.A.A. en el que aducía alegaciones al acuerdo de inicio. En estas alegaciones, en síntesis, manifestaba que: Primero:- La acción cometida y denunciada responde a un “acto humano involuntario” no intencionado y que en ningún momento como delegada de personal en funciones del sindicato ***SINDICATO.1 recibió ni formación ni documentación alguna. Segundo:- Reitera lo afirmado en su escrito con fecha 6 de enero de 2025, en el que en síntesis manifiesta: - Que enfrentó una (…). - Que las direcciones de correo electrónico destinatarias de los mensajes fueron facilitadas directamente por las personas trabajadoras, incluida la del reclamante ***EMPRESA.1, quien la escribió de su puño y letra. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/13 - Que el correo emisor de los mensajes, (***EMAIL.1), fue creado y aprobado por unanimidad en el Acta de Constitución de las Primeras Delegadas del 15 de febrero de 2023, entre las que no se incluía, puesto que su nombramiento fue posterior y en sustitución de una de las tres delegadas iniciales. - Que la acción reclamada fue un error puntual que no se volvió a repetir, y desde entonces se aplicó la función de Copia Oculta (CCO). Tercero:-“No hubo ningún tipo de uso indebido, acceso no autorizado, difusión no consentida o afectación a los derechos de las personas involucradas”. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: De acuerdo con la documentación que obra en el expediente, queda acreditado que con fecha 7/07/2023, la parte reclamada remitió un correo electrónico desde la dirección ***EMAIL.1 a treinta y dos direcciones de correo electrónico personales, (entre las cuales figuraba la dirección de correo-e del reclamante), sin la utilización de la función de copia oculta, por lo que se podían visualizar las direcciones de correo electrónico del resto de los destinatarios a los que iba dirigido. SEGUNDO: De acuerdo con la documentación que obra en el expediente, se considera probado que A.A.A. es la responsable del tratamiento que tiene por objeto este procedimiento, dado que fue ella quien remitió, por razón de su cargo como delegada de personal de la empresa ***EMPRESA.1, el correo-e objeto de la reclamación. Así se deduce de la captura de pantalla aportada por el reclamante con fecha 7/07/2023, en la que se visualiza el correo electrónico que la parte reclamada remitió y en el que figura, como firmante del correo, entre otros, A.A.A. TERCERO: Asimismo resulta acreditado que A.A.A., ostentaba el cargo de delegada de personal de la empresa ***EMPRESA.1 en la fecha en que la infracción tuvo lugar, de acuerdo con los documentos acreditativos del nombramiento como delegados de personal, copia de las actas de las elecciones a representantes de los trabajadores con fecha 13/2/2023, en las que se incluyen, entre otros, a A.A.A., como representantes elegidos, según se manifiesta en el escrito de respuesta al requerimiento con fecha 30/4/2024. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.3 de la Ley C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/13 Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Cuestiones previas A tenor del artículo 4.1 del RGPD, a efectos del RGPD, se entenderá por «dato personal»: “toda información sobre una persona física identificada o identificable («el interesado»); Y se considerará persona física identificable a “toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. Asimismo, de conformidad con el artículo 4.2) del RGPD, debe entenderse por «tratamiento»: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, se desprende que A.A.A. realizó el tratamiento de las direcciones de correo electrónico para incluirlas en un correo que envió a las personas trabajadoras de la empresa ***EMPRESA.1, desde la dirección de correo electrónico: “Delegades ***EMPRESA.1 < ***EMAIL.1>”, sin la utilización de la preceptiva función CCO y, por tanto, haciendo visibles las direcciones de correo para todos los destinatarios. Al constituir la dirección de correo electrónico un dato de carácter personal, que permite la identificación de los titulares de las cuentas, la actividad desarrollada por A.A.A., estaría relacionada con el tratamiento de datos personales, quedando éste, por tanto, sujeto a la normativa de protección de datos. A.A.A. realiza este tratamiento en su condición de responsable, al enviar el correo electrónico en su condición de representante sindical de la empresa ***EMPRESA.1, a todos los destinatarios sin utilizar la funcionalidad de copia oculta. Actuación por la que se inicia el presente procedimiento de apercibimiento. III Contestaciones a las alegaciones Previamente a la contestación a las alegaciones, debe señalarse que de conformidad con la documentación aportada por la parte reclamada en fecha 9/05/2025, ésta reconoce los hechos acaecidos en el seno de este expediente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/13 En relación con las alegaciones aducidas al acuerdo de inicio del presente procedimiento, se procede a dar respuesta a las mismas según el orden expuesto por A.A.A. PRIMERO: La parte reclamada manifiesta que la acción cometida responde a un “acto involuntario” y que en ningún momento, como delegada de personal en funciones, recibió la formación sobre “procedimientos, protocolos, registros y guías de actuación internas en las que se determinen las pautas y límites con los que debe ejecutar la actividad sindical concedida en el ámbito de la empresa sin vulnerar la intimidad o privacidad de ningún ciudadano”, por parte de ***SINDICATO.1, sin ser ello una justificación para desconocer los mismos como ciudadana. De la misma manera manifiesta que tampoco recibió por parte de ***SINDICATO.1, por medio de vía alguna: “Documentación interna relativa al uso correcto de recursos y funciones de correo-e. Manual de funciones y obligaciones para personas trabajadoras”, que contiene algunos fragmentos del “Manual en protección de datos. Funciones y obligaciones para trabajadores y trabajadoras”. En relación con esta alegación debe indicarse que no es objeto del presente procedimiento la actuación del sindicato al que pertenece A.A.A., sino que se trata de determinar la posible responsabilidad de A.A.A. en la comisión de la infracción del artículo 5.1.
- f)del RGPD. En este sentido, con independencia de que pueda considerarse un error involuntario y no haya recibido formación, lo cierto es que como delegada sindical trata datos personales en sus relaciones con las personas trabajadoras, siendo, por tanto, responsable del tratamiento y debiendo, por ello, respetar la normativa de protección de datos, ya que los incumplimientos pueden afectar a los derechos y libertades de los trabajadores, como por ejemplo dándose una pérdida de confidencialidad de las direcciones de e-mail, por lo que se desestima la presente alegación. Respecto al carácter puntual de una infracción, debe indicarse que no elimina la responsabilidad de la reclamada en la vulneración de la normativa, no obstante lo anterior, dicha circunstancia se ha tenido en cuenta a la hora de imponer el apercibimiento. Por último, debe señalarse que el hecho de que la parte reclamada se encontrara en situación de baja médica no implica que ésta deba tener menos diligencia en el desempeño de sus funciones por razón de su cargo, al igual que tampoco le exime del cumplimiento de la normativa vigente en materia de protección de datos personales, por lo que se desestima la presente alegación. SEGUNDO: - La parte reclamada expone las siguientes consideraciones: - Que las direcciones de correo fueron facilitadas directamente por las personas trabajadoras, incluida la del reclamante, quien la escribió de su puño y letra públicamente en un tablón a la vista de cualquier persona. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/13 Al respecto debe señalarse que, incluso si el tratamiento consistente en la obtención de las direcciones fuera legítimo, (por haber sido los trabajadores quienes proporcionaron las direcciones, como afirma la parte reclamada), ello no implica que el tratamiento posterior de la difusión de las direcciones de correo electrónico lo sea. Debe indicarse que en ningún momento los destinatarios del correo manifiestan su autorización para que el resto de los destinatarios del correo conocieran sus datos personales, por lo que se desestima la presente alegación. - Que el correo emisor ***EMAIL.1 fue creado y aprobado por unanimidad en el Acta de Constitución de las Primeras Delegadas del 15 de febrero de 2023, entre las que no se incluía la parte reclamada puesto que su nombramiento fue posterior y en sustitución de una de las tres delegadas iniciales. Al respecto, debe señalarse que dicha circunstancia no modifica las obligaciones impuestas por la normativa de protección de datos en cuanto al uso adecuado y seguro de comunicaciones electrónicas que impliquen el uso de datos personales. Que la reclamada no desempeñase su cargo como delegada de personal el 15/02/2023, o que la dirección de correo electrónico fuese creada con fines sindicales, no resulta relevante a efectos de valorar el cumplimiento de la normativa, puesto que la infracción que se analiza se refiere al uso posterior de dicha cuenta por A.A.A., en una comunicación concreta que realizó, desvelando datos personales a los otros destinatarios, por lo que se desestima la presente alegación. TERCERO.- A.A.A. insiste en que la naturaleza de la acción reclamada, en ningún momento tuvo una voluntad dolosa o premeditada de causar perjuicio a las personas destinatarias, sin que ello derivara en ningún tipo de uso indebido, acceso no autorizado, difusión no consentida o afectación a los derechos de las personas involucradas. En primer lugar, se debe señalar que sí existió una difusión no consentida de los datos personales, ya que se fueron revelados al resto de destinatarios sin su autorización. En segundo lugar, debe indicarse que con independencia de la inexistencia de dolo, como afirma la reclamada, sí existió conducta negligente, ya que al no ser empleada la función de CCO se revelaron los datos personales del resto de destinatarios, exponiéndolos a riesgos adicionales. Asimismo, debe señalarse que la revelación de las direcciones de correo electrónico al resto de los destinatarios implica una pérdida de disposición y control efectivo sobre dichos datos personales, desde el momento en que éstos fueron revelados. Teniendo en cuenta lo anterior, esta Agencia señala que dichas circunstancias se han tenido en consideración a la hora de imponer el apercibimiento. Por último debe señalarse que con independencia de la existencia de dolo, como afirma la reclamada, lo cierto es que sí que tuvo lugar una conducta negligente, lo que se ha tenido en cuenta para imponer un apercibimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/13 En conclusión, por todo lo comentado con anterioridad, se desestima la presente alegación. IV Obligación incumplida. Integridad y confidencialidad La letra
- f)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." De acuerdo con las evidencias de las que se dispone y conforme a lo expuesto anteriormente, en el presente caso, se ha acreditado que los datos personales, (las direcciones de correo electrónico), fueron indebidamente expuestos a todos los destinatarios, con el envío de los mencionados correos sin la utilización de la función de Copia Oculta. En las comunicaciones desarrolladas en el desarrollo de la actividad profesional resulta de vital importancia mantener la privacidad y confidencialidad de las cuentas de correo electrónico de los interesados, máxime si se trata de cuentas de correo personales y privadas. Hacer visibles las direcciones electrónicas de todos los destinatarios expondría a los mismos a que sus cuentas de correo electrónico fueran utilizadas sin su conocimiento para fines distintos para las que fueron suministradas originariamente, por no mencionar que en la actualidad, las direcciones de correo electrónico constituyen un activo muy interesante para los ciberdelincuentes, puesto que abren la posibilidad de acceso a información estratégica y confidencial, así como a la difusión de softwares maliciosos o de contenidos no solicitados. En el este caso, de acuerdo con las actuaciones de investigación realizadas en el curso de este procedimiento y de acuerdo con la documentación que obra en el expediente, en concreto, con las capturas de pantalla aportadas por la parte reclamante que constan con fecha 7/07/2023, se ha acreditado que se envió un correo electrónico desde la dirección de correo-e: “Delegades ***EMPRESA.1 < ***EMAIL.1>” a un total de treinta y dos destinatarios sin la utilización de la función de copia oculta y , revelando, por tanto, a todos los destinarios las direcciones. Por tanto, a tenor de lo expuesto anteriormente y de conformidad con las evidencias de que se dispone, se considera que los hechos conocidos son constitutivos de una infracción, imputable a A.A.A., por vulneración del artículo 5.1.
- f)del RGPD V Tipificación de la infracción del artículo 5.1.
- f)del RGPD y calificación a efectos de prescripción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/13 El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, “Infracciones”, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." VI Propuesta de apercibimiento Para el caso de que concurra una infracción de los preceptos del RGPD, entre los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, el artículo 58.2 de dicho Reglamento contempla los siguientes: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
- b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…) El artículo 64.3 de la LOPDGDD establece que la AEPD, previa audiencia al responsable o encargado del tratamiento podrá dirigir un apercibimiento. En el presente caso, atendida la naturaleza de los hechos y circunstancias expuestas en los Fundamentos de Derecho precedentes, se estima que por la infracción del artículo anteriormente mencionado procede dirigir a A.A.A. un apercibimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/13 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR UN APERCIBIMIENTO a A.A.A., con NIF ***NIF.1, por una infracción del artículo 5.1.
- f)del RGPD, tipificada en el artículo 83.5.
- a)del RGPD. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. TERCERO: De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará una vez la resolución sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1403-100325 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es