1/11 Expediente N.º: EXP202501437 RESOLUCIÓN DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 9 de julio de 2023 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a A.A.A. con NIF ***NIF.1, (en adelante, A.A.A.). Los hechos que se pusieron en conocimiento de esta autoridad fueron los siguientes: El reclamante refiere haber recibido mensajes de correo electrónico remitidos por los delegados de personal de la empresa ***EMPRESA.1, (según éste, los tres delegados de personal representan al sindicato, ***SINDICATO.1), a una pluralidad de destinatarios sin haber hecho uso de la funcionalidad de Copia Oculta (en adelante, CCO), haciendo visibles, por tanto, las direcciones de correo electrónico para todos ellos. El reclamante indica que figuran las direcciones de correo de treinta y dos destinatarios, de las cuales “30 corresponden a e-mails personales” (Gmail). Junto al escrito, aportó: - Documento 1: Captura de pantalla de correo electrónico que el reclamante manifiesta haber recibido, en el que consta la fecha de 7 de julio de 2023, remitido desde la dirección de correo electrónico: “***EMAIL.1” a una pluralidad de direcciones de correo electrónico, (en concreto dieciséis), sin utilizar la función de copia oculta, entre las que figura la dirección de correo-e del reclamante con el dominio Gmail.com, con el asunto: “Convocatoria de Asamblea”, cuyo contenido es relativo a la convocatoria de la asamblea. En el pie del correo consta de forma literal: “Salutations. Delegades de Personal. B.B.B., A.A.A., C.C.C.. “ - Documento 1b: Captura de pantalla que amplía el correo-e indicado en el párrafo anterior, (mismo correo electrónico), en el que consta otras dieciséis direcciones de correo electrónico más, diferentes a las del correo anterior. - Documento 2: Captura de pantalla de segundo correo electrónico que manifiesta haber recibido el reclamante, en el que consta la fecha de 7 de julio de 2023, remitido desde la dirección de correo electrónico: “(…) <***EMAIL.1> a una pluralidad de direcciones de correo electrónico , (en concreto dieciséis), sin utilizar la función de copia oculta, entre las que figura la dirección de correoe del reclamante con el dominio Gmail.com, con el asunto: “Localización: Convocatoria de Asamblea”, cuyo contenido se refiere a la localización donde tendrá lugar la asamblea: “(..) en la sala ubicada en la ***DIRECCIÓN.1”, así C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/11 como a las fechas y horarios de las dos sesiones que van a tener lugar y, en cuyo pie de firma consta, de manera literal, lo siguiente: “Salutations. Delegades de Personal. B.B.B., A.A.A., C.C.C.” - Documento 2b: Captura de pantalla que amplía el correo-e mencionado en el párrafo anterior, (mismo correo electrónico), en el que consta otras dieciséis direcciones de correo electrónico más, diferentes a las del correo anterior. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 11 de septiembre de 2023 se dio traslado de dicha reclamación a ***SINDICATO.1 con NIF ***NIF.2, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 12 de septiembre de 2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 21 de septiembre de 2023 se recibió en esta Agencia, en tiempo y forma, escrito de respuesta de ***SINDICATO.1, en el que indicó que: “(…) se establece territorialmente en Uniones de Comunidad Autónoma (UCA) y está integrada por tres Federaciones estatales que se constituyen en el ámbito del estado español para agrupar a las trabajadoras y a los trabajadores asalariados de los diferentes sectores económicos. Cada uno de estos organismos tiene su propio CIF y responsabilidades en el tratamiento de la información sensible y datos de carácter personal. Las Secciones Sindicales u organismos de representación de las trabajadoras y los trabajadores en las empresas y centros de trabajo son parte organizativa de las Federaciones. Tal y como se puede ver en la reclamación recibida, ésta deriva de una acción cometida por los delegados de personal de (…) en ***EMPRESA.1, siendo ***SINDICATO.2, con CIF ***NIF.3, la Responsable sectorial de los tratamientos realizados por sus organismos de representación en aquella entidad, y no ***SINDICATO.1 con CIF ***NIF.2, que es quien recibe esta comunicación por parte de la Agencia Española de Protección de Datos. TERCERO: El 26 de septiembre del 2023, esta Agencia trasladó la reclamación a ***SINDICATO.2 con ***NIF.3 para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la LPACAP, fue recogido en fecha 27 de septiembre de 2023 como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/11 Con fecha 16 de octubre de 2023 se recibió en esta Agencia, en tiempo y forma, escrito de respuesta de ***SINDICATO.2, en el que manifestó, en síntesis, que: - “(..) El correo electrónico remitido, y que es objeto de dicha reclamación, se realiza desde un dominio ajeno a la ***SINDICATO.2 (***EMAIL.1)”. “No ha sido autorizado por nuestro sindicato en ningún momento el uso del servicio GMAIL por parte de la representación sindical a la que se le reclama. Es en esta plataforma donde constan y son archivadas por los delegados de personal reclamados todas las direcciones de correo-e de los destinatarios, no siendo esta una base de datos ni listado formal y oficialmente conocido ni autorizado por nuestro sindicato”. “***SINDICATO.2 ha comunicado en diversas ocasiones a sus usuarios, y así lo refleja en sus políticas internas, que no se hace responsable de todas las acciones que se lleven a cabo por sus personas trabajadoras y colaboradoras desde recursos personales o no corporativos (ya sean correos electrónicos, números de teléfono, perfiles en redes sociales, sitios web no oficiales, etc)”. “(…)” “(...)” “Si bien es cierto que los delegados de personal reclamados han sido legalmente elegidos para la entidad ***EMPRESA.1, y que forman parte de nuestro sindicato (…), tenemos que indicar que, en su función, los delegados de personal no actúan en todo momento en nombre y representación del sindicato. El delegado de personal representa a los trabajadores a nivel interno, es elegido por los propios trabajadores a través de sus elecciones, y su ámbito de representación se limita a los empleados de su empresa. Mientras que los delegados sindicales representan a los empleados, pero en una función más global, estrictamente en misión del sindicato al que pertenecen, son elegidos por el sindicato y, además de representar los intereses de los trabajadores, también participan activamente en negociaciones, estrategia sindical, etc. En este sentido, queremos señalar que las dos asambleas convocadas a través del correo electrónico que es objeto de la presente reclamación no provenían de ninguna instrucción directa del sindicato”. “Nuestro sindicato es conocedor y proactivo en el correcto y riguroso cumplimiento normativo. Por ello, contamos con procedimientos, protocolos, registros y guías de actuación internas en las que se determinan las pautas y límites con los que debe ejecutarse la actividad sindical concedida por la LOLS en el ámbito de la empresa sin vulnerar la intimidad o privacidad de ningún ciudadano”. “Entre otros, en todos los ámbitos y a través de todos los medios con los que cuenta la Organización, se recuerda siempre la importancia de utilizar la función de CCO para todos los comunicados oficiales que se remitan desde nuestro sindicato a listados de varios destinatarios, conociendo la importancia de mantener la confidencialidad de cada una de sus cuentas de correo electrónico, máxime si se trata de cuentas de correo electrónico personales y privadas”. “De facto es demostrable que desde nuestra Organización se han convocado asambleas y se han remitido correos electrónicos a múltiples destinatarios utilizando la debida función de Copia Oculta”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/11 “No podemos negar ni obviar que la acción cometida y denunciada responde a un acto humano involuntario y no intencionado, aunque en este supuesto concreto, y por las razones anteriormente expuestas, consideramos que no debe ser de responsabilidad imputable directamente a nuestra Organización”. “(…)” Finalmente, ***SINDICATO.2, en el escrito de respuesta solicita que: “Que se dé por archivado este Expediente, entendiéndose que no se puede considerar que sea nuestra Organización responsable directa de las acciones reclamadas, manteniendo en cualquier caso nuestro compromiso en la concienciación permanente de nuestros usuarios, así como de seguir trabajando en el riguroso cumplimiento de la Ley”. Junto al escrito de respuesta del traslado de la reclamación, con fecha 16 de octubre de 2023, ***SINDICATO.2 aportó: Como “Anexo I”, copia de un documento denominado: “Documentación interna relativa al uso correcto de recursos y funciones de correo-e. Manual de funciones y obligaciones para personas trabajadoras”, que contiene algunos fragmentos del “Manual en protección de datos. Funciones y obligaciones para trabajadores y trabajadoras”. En el apartado “g” del citado documento, se indica que: “Es muy importante utilizar la Copia Oculta (CCO) en la remisión de correos electrónicos a varios destinatarios que no deban ser conocidos por los demás, de forma que cada uno de los receptores del correo electrónico recibido no pueda acceder a los datos de los demás receptores. La infracción de esta práctica es una de las más sancionadas por parte de la AEPD en la actualidad”. En el epígrafe: “Política de uso de dispositivos y recursos digitales en el ámbito laboral”, en el punto. “2.2 Prohibición de uso de dispositivos personales con fines profesionales”, se indica que: “En caso de que sea necesaria, por cualquier situación excepcional, la utilización de dispositivos o recursos de carácter privado de la persona trabajadora para el desempleo de sus funciones laborales, la misma debe ser autorizada previamente por la Organización. En el apartado: “Guía de ayuda para el cumplimiento normativo para organismos de representación en la empresa”, en el punto número siete se indica que: “No se deben utilizar para la actividad sindical cuentas de correo-e no habilitadas o autorizadas expresamente por responsables autorizados del sindicato. Para la remisión de correos-e masivos se debe utilizar siempre la opción Copia Oculta (CCO), de forma que cada uno de los receptores del correo electrónico recibido no pueda acceder a los datos de los demás”. CUARTO: Con fecha 9 de octubre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/11 Como consecuencia de las actuaciones realizadas, la Subdirección General de Datos tuvo conocimiento de los extremos que seguidamente se exponen. Con fecha 30/1/2024, se solicitó información y documentación mediante sendas notificaciones postales, dirigidas a B.B.B., A.A.A., C.C.C., a la dirección postal que consta en la página web “***URL.1”, siendo devueltos por el servicio de correos anotando como motivo de la devolución: “Dirección incorrecta”. Como consecuencia de dicha devolución, con fechas 30/1/2024 y 13/3/2024 se enviaron, nuevamente, los requerimientos, incluyendo, en cada uno de los destinatarios, además del nombre, el literal: “(…)” siendo nuevamente devueltos por el servicio de correos anotando como motivo de la devolución: “Dirección incorrecta”. Con fecha 25/4/2024, se solicitó información y documentación, mediante sendas notificaciones postales, dirigidas a B.B.B., A.A.A. y C.C.C., a la dirección postal obtenida de ***EMPRESA.1, siendo devueltos por el servicio de correos anotando como motivo de la devolución: “Desconocido”. Con fecha 22/4/2024, se solicitó a ***EMPRESA.1, mediante notificación electrónica, copia de las actas de nombramiento como delegados de personal de B.B.B., A.A.A. y C.C.C. y otra información y documentación en relación con los hechos reclamados. Con fecha 30/4/2024 tuvo entrada, en tiempo y en forma, el escrito de respuesta en el que: o Aportaron como documentos acreditativos del nombramiento como delegados de personal, copia de las actas de las elecciones a representantes de los trabajadores con fecha 13/2/2023, en las que se incluyen B.B.B., A.A.A. y C.C.C. como representantes elegidos. (Anexo 1, 2 y 3). o Manifestaron que las direcciones de correo electrónico de los trabajadores que constan en los correos objeto de reclamación constan en los ficheros de personal de ***EMPRESA.1 como correos personales para gestionar la relación laboral con la entidad. También informaron que ninguna de estas direcciones de correo electrónico se llegó a proporcionar nunca a los delegados de personal. o Asimismo, manifestaron, que tuvieron conocimiento de que se utilizaría la dirección de correo electrónico ***EMAIL.1 para este fin, mediante un mensaje de correo electrónico por parte de dicha dirección, del cual adjuntan copia. Con fecha 3/12/2024 se solicitó a A.A.A., mediante notificación postal al domicilio que consta en el Padrón municipal, información sobre los hechos reclamados. Con fecha 19/12/2024, se recibió en esta Agencia, en tiempo y forma, escrito de respuesta de A.A.A., en el que manifestó, que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/11 o Fue cesada de su cargo (…) siendo Delegado de Personal quien interpone la presente reclamación. De junio a septiembre de 2023 estuvo (…) por motivos de (…). o Respecto al origen de las direcciones de correo destinatarias, fueron facilitados por las personas trabajadoras bien por correo electrónico, bien a petición de las propias trabajadoras en un listado que fueron pasando y rellenando cada una de ellas y que el propio reclamante rellenó de su puño y letra el email de contacto que permitía usar a las delegadas para recibir información de las entonces representantes (***EMAIL.1). Aporta copia de dicho Listado. La lista incluye escrito a mano el nombre y apellidos del reclamante junto a su dirección de correo electrónico (***EMAIL.2.). o La creación del correo emisor (***EMAIL.1) fue aprobada por unanimidad, en Acta de Constitución de las Primeras Delegadas de la empresa en fecha 15 de febrero de 2023, siendo delegadas A.A.A., D.D.D. y E.E.E.. Aporta copia de dicha acta. SEXTO: Con fecha 9 de abril de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a la parte reclamada, por la presunta infracción del Artículo 5.1.
Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.