← España

PA-00010-2025

1/15  Expediente N.º: EXP202501438 RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 9 de julio de 2023 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a A.A.A. con NIF ***NIF.1, (en adelante, A.A.A.). Los hechos que se pusieron en conocimiento de esta autoridad fueron los siguientes: El reclamante refiere haber recibido mensajes de correo electrónico remitidos por los delegados de personal de la empresa ***EMPRESA.1, (según éste, los tres delegados de personal representan al sindicato, ***SINDICATO.1), a una pluralidad de destinatarios sin haber hecho uso de la funcionalidad de Copia Oculta (en adelante, CCO), haciendo visibles, por tanto, las direcciones de correo electrónico para todos ellos. El reclamante indica que figuran las direcciones de correo de treinta y dos destinatarios, de las cuales “30 corresponden a e-mails personales” (Gmail). Junto al escrito, aportó: - Documento 1: Captura de pantalla de correo electrónico que el reclamante manifiesta haber recibido, en el que consta la fecha de 7 de julio de 2023, remitido desde la dirección de correo electrónico: “***EMAIL.1 ” a una pluralidad de direcciones de correo electrónico, (en concreto dieciséis), sin utilizar la función de copia oculta, entre las que figura la dirección de correo-e del reclamante con el dominio Gmail.com, con el asunto: “Convocatoria de Asamblea”, cuyo contenido es relativo a la convocatoria de la asamblea. En el pie del correo consta de forma literal: “Salutations. Delegades de Personal. B.B.B., C.C.C., D.D.D.. “ - Documento 1b: Captura de pantalla que amplía el correo-e indicado en el párrafo anterior, (mismo correo electrónico), en el que consta otras dieciséis direcciones de correo electrónico más, diferentes a las del correo anterior. - Documento 2: Captura de pantalla de segundo correo electrónico que manifiesta haber recibido el reclamante, en el que consta la fecha de 7 de julio de 2023, remitido desde la dirección de correo electrónico: ***EMAIL.1 a una pluralidad de direcciones de correo electrónico , (en concreto dieciséis), sin utilizar la función de copia oculta, entre las que figura la dirección de correo-e del reclamante con el dominio Gmail.com, con el asunto: “Localización: Convocatoria de Asamblea”, cuyo contenido se refiere a la localización donde C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/15 tendrá lugar la asamblea: “(..) en la sala ubicada en ***DIRECCIÓN.1”, así como a las fechas y horarios de las dos sesiones que van a tener lugar y, en cuyo pie de firma consta, de manera literal, lo siguiente: “Salutations. Delegades de Personal. B.B.B. C.C.C.” - Documento 2b: Captura de pantalla que amplía el correo-e mencionado en el párrafo anterior, (mismo correo electrónico), en el que consta otras dieciséis direcciones de correo electrónico más, diferentes a las del correo anterior. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 11 de septiembre de 2023 se dio traslado de dicha reclamación a ***SINDICATO.1 (***SINDICATO.1) con ***NIF.2, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 12 de septiembre de 2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 21 de septiembre se recibió en esta Agencia, en tiempo y forma, escrito de respuesta de ***SINDICATO.1, en el que indicó que: “(…) se establece territorialmente en Uniones de Comunidad Autónoma (UCA) y está integrada por tres Federaciones estatales que se constituyen en el ámbito del estado español para agrupar a las trabajadoras y a los trabajadores asalariados de los diferentes sectores económicos. Cada uno de estos organismos tiene su propio CIF y responsabilidades en el tratamiento de la información sensible y datos de carácter personal. Las Secciones Sindicales u organismos de representación de las trabajadoras y los trabajadores en las empresas y centros de trabajo son parte organizativa de las Federaciones. Tal y como se puede ver en la reclamación recibida, ésta deriva de una acción cometida por los delegados de personal de ***SINDICATO.1 en ***EMPRESA.1, siendo ***SINDICATO.2, con ***NIF.3, la Responsable sectorial de los tratamientos realizados por sus organismos de representación en aquella entidad, y no ***SINDICATO.1 con CIF ***NIF.2, que es quien recibe esta comunicación por parte de la Agencia Española de Protección de Datos. TERCERO: El 26 de septiembre del 2023, esta Agencia trasladó la reclamación a ***SINDICATO.2 con ***NIF.3 para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/15 El traslado, que se practicó conforme a las normas establecidas en la LPACAP, fue recogido en fecha 27 de septiembre de 2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 16 de octubre de 2023 se recibió en esta Agencia, en tiempo y forma, escrito de respuesta de ***SINDICATO.2, en el que manifestó, en síntesis, que: - “(..) El correo electrónico remitido, y que es objeto de dicha reclamación, se realiza desde un dominio ajeno a ***SINDICATO.2 (***EMAIL.1)”. “No ha sido autorizado por nuestro sindicato en ningún momento el uso del servicio GMAIL por parte de la representación sindical a la que se le reclama. Es en esta plataforma donde constan y son archivadas por los delegados de personal reclamados todas las direcciones de correo-e de los destinatarios, no siendo esta una base de datos ni listado formal y oficialmente conocido ni autorizado por nuestro sindicato”. “***SINDICATO.2 ha comunicado en diversas ocasiones a sus usuarios, y así lo refleja en sus políticas internas, que no se hace responsable de todas las acciones que se lleven a cabo por sus personas trabajadoras y colaboradoras desde recursos personales o no corporativos (ya sean correos electrónicos, números de teléfono, perfiles en redes sociales, sitios web no oficiales, etc)”. “(…)” “(...)” “Si bien es cierto que los delegados de personal reclamados han sido legalmente elegidos para la entidad ***EMPRESA.1, y que forman parte de nuestro sindicato (…), tenemos que indicar que, en su función, los delegados de personal no actúan en todo momento en nombre y representación del sindicato. El delegado de personal representa a los trabajadores a nivel interno, es elegido por los propios trabajadores a través de sus elecciones, y su ámbito de representación se limita a los empleados de su empresa. Mientras que los delegados sindicales representan a los empleados, pero en una función más global, estrictamente en misión del sindicato al que pertenecen, son elegidos por el sindicato y, además de representar los intereses de los trabajadores, también participan activamente en negociaciones, estrategia sindical, etc. En este sentido, queremos señalar que las dos asambleas convocadas a través del correo electrónico que es objeto de la presente reclamación no provenían de ninguna instrucción directa del sindicato”. “Nuestro sindicato es conocedor y proactivo en el correcto y riguroso cumplimiento normativo. Por ello, contamos con procedimientos, protocolos, registros y guías de actuación internas en las que se determinan las pautas y límites con los que debe ejecutarse la actividad sindical concedida por la LOLS en el ámbito de la empresa sin vulnerar la intimidad o privacidad de ningún ciudadano”. “Entre otros, en todos los ámbitos y a través de todos los medios con los que cuenta la Organización, se recuerda siempre la importancia de utilizar la función de CCO para todos los comunicados oficiales que se remitan desde nuestro sindicato a listados de varios destinatarios, conociendo la importancia de mantener la confidencialidad de cada una de sus cuentas de correo electrónico, máxime si se trata de cuentas de correo electrónico personales y privadas” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/15 “De facto es demostrable que desde nuestra Organización se han convocado asambleas y se han remitido correos electrónicos a múltiples destinatarios utilizando la debida función de Copia Oculta”. “No podemos negar ni obviar que la acción cometida y denunciada responde a un acto humano involuntario y no intencionado, aunque en este supuesto concreto, y por las razones anteriormente expuestas, consideramos que no debe ser de responsabilidad imputable directamente a nuestra Organización”. “(…)” Finalmente, ***SINDICATO.2, en el escrito de respuesta solicita que: “Que se dé por archivado este Expediente, entendiéndose que no se puede considerar que sea nuestra Organización responsable directa de las acciones reclamadas, manteniendo en cualquier caso nuestro compromiso en la concienciación permanente de nuestros usuarios, así como de seguir trabajando en el riguroso cumplimiento de la Ley” Junto al escrito de respuesta del traslado de la reclamación, con fecha 16 de octubre de 2023, ***SINDICATO.2 aportó: Como “Anexo I”, copia de un documento denominado: “Documentación interna relativa al uso correcto de recursos y funciones de correo-e. Manual de funciones y obligaciones para personas trabajadoras”, que contiene algunos fragmentos del “Manual en protección de datos. Funciones y obligaciones para trabajadores y trabajadoras”. En el apartado “g” del citado documento, se indica que: “Es muy importante utilizar la Copia Oculta (CCO) en la remisión de correos electrónicos a varios destinatarios que no deban ser conocidos por los demás, de forma que cada uno de los receptores del correo electrónico recibido no pueda acceder a los datos de los demás receptores. La infracción de esta práctica es una de las más sancionadas por parte de la AEPD en la actualidad”. En el epígrafe: “Política de uso de dispositivos y recursos digitales en el ámbito laboral”, en el punto. “2.2 Prohibición de uso de dispositivos personales con fines profesionales”, se indica que: “En caso de que sea necesaria, por cualquier situación excepcional, la utilización de dispositivos o recursos de carácter privado de la persona trabajadora para el desempleo de sus funciones laborales, la misma debe ser autorizada previamente por la Organización. En el apartado: “Guía de ayuda para el cumplimiento normativo para organismos de representación en la empresa”, en el punto número siete se indica que: “No se deben utilizar para la actividad sindical cuentas de correo-e no habilitadas o autorizadas expresamente por responsables autorizados del sindicato. Para la remisión de correos-e masivos se debe utilizar siempre la opción Copia Oculta (CCO), de forma que cada uno de los receptores del correo electrónico recibido no pueda acceder a los datos de los demás”. CUARTO: Con fecha 9 de octubre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/15 cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, la Subdirección General de Datos tuvo conocimiento de los extremos que seguidamente se exponen. Con fecha 30/1/2024, se solicitó información y documentación mediante sendas notificaciones postales, dirigidas a B.B.B., C.C.C., D.D.D., a la dirección postal que consta en la página web “***WEB.1”, siendo devueltos por el servicio de correos anotando como motivo de la devolución: “Dirección incorrecta”. Como consecuencia de dicha devolución, con fechas 30/1/2024 y 13/3/2024 se enviaron, nuevamente, los requerimientos, incluyendo, en cada uno de los destinatarios, además del nombre, el literal: “(…)” siendo nuevamente devueltos por el servicio de correos anotando como motivo de la devolución: “Dirección incorrecta”. Con fecha 25/4/2024, se solicitó información y documentación, mediante sendas notificaciones postales, dirigidas a B.B.B., C.C.C. y D.D.D., a la dirección postal facilitada obtenida de ***EMPRESA.1, siendo devueltos por el servicio de correos anotando como motivo de la devolución: “Desconocido”. Con fecha 22/4/2024, se solicitó a ***EMPRESA.1, mediante notificación electrónica, copia de las actas de nombramiento como delegados de personal de B.B.B., C.C.C. y D.D.D. y otra información y documentación en relación con los hechos reclamados. Con fecha 30/4/2024 tuvo entrada el escrito de respuesta en el que: o Aportaron como documentos acreditativos del nombramiento como delegados de personal, copia de las actas de las elecciones a representantes de los trabajadores con fecha 13/2/2023, en las que se incluyen B.B.B., C.C.C. y D.D.D. como representantes elegidos. (Anexo 1, 2 y 3). o Manifestaron que las direcciones de correo electrónico de los trabajadores que constan en los correos objeto de reclamación constan en los ficheros de personal de ***EMPRESA.1 como correos personales para gestionar la relación laboral con la entidad. También informaron que ninguna de estas direcciones de correo electrónico se llegó a proporcionar nunca a los delegados de personal. o Asimismo, manifestaron, que tuvieron conocimiento de que se utilizaría la dirección de correo electrónico ***EMAIL.1 para este fin, mediante un mensaje de correo electrónico por parte de dicha dirección, del cual adjuntan copia. Con fecha 3/12/2024 se solicitó a A.A.A. mediante notificación postal al domicilio que consta en el Padrón municipal, información sobre los hechos reclamados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/15 Con fecha 17/12/2024, se recibió en esta Agencia, en tiempo y en forma, escrito de respuesta, el que manifestó lo siguiente: o El 14 de junio de 2023 se produce su nombramiento como representante de los trabajadores y con fecha 22 de septiembre de 2023 causó baja del cargo, siendo sustituido en el cargo por el aquí reclamante E.E.E.. o Durante el periodo comprendido entre el 14 de julio y el 31 de agosto de 2023 causó (…) en la empresa por motivos (…). o Respecto al origen de las direcciones de correo destinatarias de los mensajes enviados, manifiesta que los datos de correos electrónicos destinatarios, fueron facilitados por las personas trabajadoras bien por correo electrónico, bien a petición de las propias trabajadoras en un listado que fueron pasando y rellenando cada una de ellas. Que el propio reclamante rellenó de su puño y letra el email de contacto que permitía usar a las delegadas para recibir información de las entonces representantes (***EMAIL.1). Aporta copia de la lista encabezada con el literal: “POR FAVOR, INCLUIR VUESTRO NOMBRE Y EMAIL PARA COMUNICACIONES Y VIDEOLLAMADAS CON LAS DELEGADAS DE PERSONAL” y contiene una tabla con dos columnas en las que se han cumplimentado manualmente el nombre y dirección de correo electrónico de 27 interesados. La lista incluye escrito a mano el nombre y apellidos del reclamante junto a su dirección de correo electrónico (***EMAIL.2). o La creación del correo emisor (***EMAIL.1) fue aprobada por unanimidad, en Acta de Constitución de las Primeras Delegadas de la empresa en fecha 15 de febrero de 2023, siendo delegadas C.C.C., F.F.F. y G.G.G.. Junto al escrito de respuesta aporta copia de dicha acta firmado electrónicamente en febrero de 2023 por C.C.C., F.F.F. y G.G.G. y cuyo contenido parcial literal es el siguiente: “ACTA DE CONSTITUCIÓN NUEVAS DELEGADAS DE PERSONAL DE (...). Reunidas (…), el día 15 de febrero de 2023, a horas, las personas que a continuación se detallan: 1.-C.C.C. (…) 2.-F.F.F. (…) 3.-G.G.G.(…) Acuerdan: Tras las votaciones a Delegadas/os/es de personal celebradas en la sede social y centro de trabajo de ***EMPRESA.1, el pasado 13 de febrero de 2023, en las que las tres comparecientes fueron las que mayor número de votos obtuvieron, convocar esta primera reunión, en la que se han llegado a los siguientes acuerdos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/15 1 º Crear un correo electrónico a fin de facilitarlo a la ejecutiva y a los/las/les trabajadoras/es de (...), como medio oficial de comunicación electrónico y para atender a las/los/les compañeres: ***EMAIL.1 (…) Y sin más asuntos que tratar, se levanta la sesión siendo las 13:30 horas del día de la fecha.” o Los hechos por los que ha sido requerida información ocurrieron de forma puntual debido a un error y hasta el momento en el que cesé en el cargo como representante de los trabajadores no había ocurrido con anterioridad ni posteriormente. Que interesa manifestar que, hasta el momento de notificación del requerimiento de información desconocía la existencia de la reclamación interpuesta. o Desconoce cualquier decisión adoptada a propósito de esta reclamación en tanto que desde el 14 de julio de 2023 no ha tenido relación alguna con las personas que ostentan el cargo de representantes de los trabajadores ni con los representantes de la entidad. SEXTO: Con fecha 9 de abril de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a la parte reclamada, por la presunta infracción del Artículo 5.1.

  1. f)del RGPD, tipificada en el Artículo 83.5.
  2. a)del RGPD. SÉPTIMO: La notificación del citado acuerdo de iniciación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogida en fecha 09/04/2025 como consta en el acuse de recibo que obra en el expediente. OCTAVO: En fecha 22/04/2025 se recibe en esta Agencia, en tiempo y en forma, escrito de A.A.A. en el que aducía alegaciones al acuerdo de inicio. En estas alegaciones, en síntesis, manifestaba: Primero:- Que reconoce el envío de correos electrónicos sin la utilización de la función de CCO y expresa que la acción denunciada “en ningún momento tuvo ánimo doloso, ni intencionalidad alguna de vulnerar derechos de terceros, tratándose de un error humano puntual y aislado, que no se ha repetido antes ni después del incidente señalado”. Segundo:- Que las direcciones de correo electrónico destinatarias de los mensajes fueron facilitadas voluntariamente por las personas trabajadoras de la entidad, incluyendo al reclamante. Tercero:- Que el correo emisor de los mensajes, (***EMAIL.1), fue creado y aprobado por unanimidad en el Acta de Constitución de las Primeras Delegadas del 15 de febrero de 2023, que él “ni creó ni controló dicha cuenta” y “que su uso fue acordado por las primeras delegadas de personal mediante el acta de constitución”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/15 Cuarto:- Que el 22/09/2023 cesó en sus funciones como delegado de personal y que durante el tiempo en que se produjeron los hechos, (julio de 2023), se encontraba en situación de baja médica. Quinto:- “Que desde el mismo momento en que se tuvo conocimiento del error, se dejó de utilizar el procedimiento de envío sin CCO” y que se muestra dispuesto “a colaborar en lo necesario para que no vuelvan a producirse hechos similares”. Sexto:- Que él no es responsable del tratamiento porque no creó la dirección e-mail desde la que se envió el correo electrónico. Séptimo:- Que no obtuvo beneficio de la infracción. Octavo:- Que no cometió negligencia grave ni desinterés por la normativa de protección de datos A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: De acuerdo con la documentación que obra en el expediente, queda acreditado que con fecha 7 de julio de 2023, la parte reclamada remitió un correo electrónico desde la dirección ***EMAIL.1 a treinta y dos direcciones de correo electrónico personales, (entre las cuales figuraba la dirección de correo-e del reclamante), sin la utilización de la función de copia oculta, por lo que se podían visualizar las direcciones de correo electrónico del resto de los destinatarios a los que iba dirigido. SEGUNDO: De acuerdo con la documentación que obra en el expediente, se considera probado que A.A.A. es el responsable del tratamiento que tiene por objeto este procedimiento, dado que fue él quien remitió, por razón de su cargo como delegado de personal de la empresa ***EMPRESA.1 y desde la dirección de correo electrónico mencionada anteriormente, el correo electrónico sin la utilización de la función CCO a los treinta y dos destinatarios, haciendo visibles las direcciones de correo electrónico de carácter personal de todos ellos. Así se deduce de la captura de pantalla aportada por el reclamante con fecha 7/07/2023, en la que se visualiza el correo electrónico que la parte reclamada remitió y en el que figura, como firmante del correo, entre otros, A.A.A.. TERCERO: Asimismo resulta acreditado que A.A.A., ostentó el cargo de delegado de personal de la empresa ***EMPRESA.1 en la fecha en que la infracción tuvo lugar, de acuerdo con los documentos acreditativos del nombramiento como delegados de personal, copia de las actas de las elecciones a representantes de los trabajadores con fecha 13/2/2023, en las que se incluyen, entre otros, a A.A.A., como representantes elegidos, según se manifiesta en el escrito de respuesta al requerimiento con fecha 30/4/2024. CUARTO: De acuerdo con la documentación que obra en el expediente, queda acreditado que A.A.A. se encontraba en situación de baja laboral desde el 14/07/2024, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/15 tal y como consta en el parte de incapacidad temporal aportado el reclamado con fecha 22/04/2025. De la misma manera queda acreditado que el 07/07/2024, fecha en la que se envió el correo-e objeto de la reclamación, A.A.A. se encontraba desarrollando sus funciones como delegado sindical, siendo, por tanto, el responsable de dicho envío. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Cuestiones previas A tenor del artículo 4.1 del RGPD, a efectos del RGPD, se entenderá por «dato personal»: “toda información sobre una persona física identificada o identificable («el interesado»); Y se considerará persona física identificable a “toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. Asimismo, de conformidad con el artículo 4.2) del RGPD, debe entenderse por «tratamiento»: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, se desprende que A.A.A. realizó el tratamiento de las direcciones de correo electrónico para incluirlas en un correo que envió a las personas trabajadoras de la empresa ***EMPRESA.1, desde la dirección de correo electrónico: “(…) ***EMAIL.1 >”, sin la utilización de la preceptiva función CCO y, por tanto, haciendo visibles las direcciones de correo para todos los destinatarios. Al constituir el correo electrónico un dato de carácter personal, que permite la identificación de los titulares de las cuentas, la actividad desarrollada por A.A.A., estaría relacionada con el tratamiento de datos personales, quedando éste, por tanto, sujeto a la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/15 A.A.A. realiza este tratamiento en su condición de responsable, al enviar el correo electrónico en su condición de representante sindical de la empresa ***EMPRESA.1, a todos los destinatarios sin utilizar la funcionalidad de copia oculta. Actuación por la que se inicia el presente procedimiento de apercibimiento. III Contestaciones a las alegaciones Previamente a la contestación a las alegaciones, debe señalarse que de conformidad con el escrito aportado por la parte reclamada en fecha 22/04/2025, A.A.A. reconoce los hechos acaecidos en el seno de este expediente. En relación con las alegaciones aducidas al acuerdo de inicio del presente procedimiento, se procede a dar respuesta a las mismas según el orden expuesto por A.A.A.. PRIMERO:- La parte reclamada afirma que la acción denunciada “en ningún momento tuvo ánimo doloso, ni intencionalidad alguna de vulnerar derechos de terceros, tratándose de un error humano puntual y aislado, que no se ha repetido antes ni después del incidente señalado”. Al respecto debe señalarse que, con independencia de que la conducta infractora “no tuviese ánimo doloso ni intencionalidad de vulnerar derechos de terceros”, como afirma la parte reclamada, lo cierto es que como delegado sindical A.A.A. trata datos personales en sus relaciones con las personas trabajadoras, siendo, por tanto, responsable del tratamiento y debiendo, por ello, respetar la normativa de protección de datos, ya que los incumplimientos pueden afectar a los derechos y libertades de los trabajadores, como por ejemplo dándose una pérdida de confidencialidad de las direcciones de e-mail. Asimismo, debe indicarse que aunque la conducta infractora no tuviese “intencionalidad de vulnerar derechos de terceros”, como afirma la parte reclamada, ésta sí causó perjuicio a las personas destinatarias, dado que como consecuencia de la acción infractora tuvo lugar, revelación de los datos personales de los destinatarios del mensaje y que esta revelación indebida expone a los afectados a riesgos adicionales, como como pueden ser el uso inadecuado de sus datos, la difusión ulterior o su utilización para fines no autorizados. Asimismo, debe señalarse que la revelación de las direcciones de correo electrónico al resto de los destinatarios implica una pérdida de disposición y control efectivo sobre dichos datos personales, desde el momento en que éstos fueron revelados. De la misma manera debe indicarse que con independencia de que pueda tratarse de un “error puntual y asilado”, como afirma la parte reclamada, el carácter puntual de una infracción no elimina la vulneración de la normativa como consecuencia de la misma, así como tampoco impide que la responsabilidad de haber enviado el correo electrónico objeto de la reclamación, sin la preceptiva copia oculta, desvelándose datos personales, fuera suya. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/15 En conclusión y conforme a todo lo comentado con anterioridad, se desestima la presente alegación. SEGUNDO:- La parte reclamada sostiene que las direcciones de correo electrónico destinatarias de los mensajes “fueron facilitadas voluntariamente por las personas trabajadoras de la entidad, incluyendo al reclamante”. Al respecto debe indicarse que, incluso si el tratamiento consistente en la obtención de las direcciones de correo-e fuera legítimo, (por haber sido los trabajadores quienes proporcionaron las direcciones, como afirma la parte reclamada), ello no implica que el tratamiento posterior de la difusión de las direcciones de correo electrónico lo sea. Los destinatarios del correo no manifestaron su autorización para tal difusión, por lo que se desestima la presente alegación. TERCERO:- La parte reclamada refiere que el correo emisor de los mensajes, (***EMAIL.1), fue creado y aprobado por unanimidad en el Acta de Constitución de las Primeras Delegadas del 15/02/2023, y que él “ni creó ni controló dicha cuenta” y “que su uso fue acordado por las primeras delegadas de personal mediante el acta de constitución”. Aporta acta de constitución de las primeras delegadas de ***EMPRESA.1 con fecha 15/02/2023, siendo delegadas: C.C.C., F.F.F. y G.G.G.. Se visualiza el acuerdo alcanzado para crear la dirección de correo electrónico: ***EMAIL.1, como “medio oficial de comunicación electrónico” y para la "atención de las personas trabajadoras. Al respecto debe indicarse que dichas circunstancias, no modifican las obligaciones impuestas por la normativa de protección de datos en cuanto al uso adecuado y seguro de comunicaciones electrónicas que impliquen el uso de datos personales. Que la parte reclamada no crease la dirección de correo-e remitente de los mensajes o que ésta fuese creada para fines sindicales con fecha 15/02/2023 por las primeras delegadas de personal, no resulta relevante a efectos de valorar el cumplimiento de la normativa, puesto que la infracción que se analiza se refiere al uso posterior de dicha cuenta por A.A.A., en una comunicación concreta que realizó, desvelando datos personales a los otros destinatarios, por lo que se desestima la presente alegación. CUARTO:- La parte reclamada expone que durante el tiempo en que se produjeron los hechos se encontraba (…) y que el 22/09/2023 cesó en sus funciones. (…). Al respecto debe señalarse que, a pesar de que el reclamado afirma que se encontraba en situación de baja laboral en el momento en que ocurrieron los hechos, (7 de julio de 2023), lo cierto es que en la fecha en la que se envió el correo-e objeto de la reclamación la parte reclamada no se encontraba en situación de baja laboral, según se manifiesta en el parte de baja aportado por la parte reclamada con fecha de emisión de 14 de julio de 2023. De acuerdo con la documentación que obra en el expediente, únicamente ha podido acreditarse su baja laboral a partir del 14 de julio de 2023 y no el 7 de julio de 2023. En consecuencia, en la fecha en la que se envió el correo-e objeto de la reclamación, 7 de julio de 2023, la parte reclamada se encontraba desarrollando sus funciones como delegado sindical, siendo, por lo tanto, el responsable de dicho envío, por lo que se desestima la presente alegación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/15 QUINTO:- La parte reclamada afirma que “desde el mismo momento en que tuvo conocimiento del error, se dejó de utilizar el procedimiento de envío sin CCOO” y refiere que se muestra dispuesto a “colaborar en los necesario para que no vuelvan a producirse hechos similares”. A este respecto debe señalarse que, si bien la Agencia aprecia la subsanación de la conducta, eso no impide que la infracción se haya cometido, por lo que se desestima la presente alegación. SEXTO:- La parte reclamada afirma que él no es responsable del tratamiento porque no creó la dirección e-mail desde que se envió el correo. Al respecto debe señalarse, que A.A.A. sí es responsable del tratamiento dado que, aunque no creara la dirección de correo-e desde la que tuvo lugar el envío del mensaje, sí la utilizó incluyendo las direcciones destinatarias, con lo que en ese momento determinó medios y fines y realizó un tratamiento de datos personales de los destinatarios del correo, por lo que se desestima la presente alegación. SÉPTIMO:- La parte reclamada expone que no obtuvo beneficio de la infracción. En relación con esta alegación, debe indicarse que aunque no obtuviera beneficio, ello no implica que la infracción objeto del presente procedimiento no se ha cometido, por lo que se desestima la presente alegación. OCTAVO: La parte reclamada refiere que no cometió negligencia grave. Al respecto debe señalarse que con independencia de que si la negligencia puede calificarse, o no, como grave, lo cierto es que sí concurrió cierto grado de negligencia, ya que como delegado sindical, A.A.A., trata datos personales en sus relaciones con las personas trabajadoras, siendo, por tanto, responsable del tratamiento y debiendo, por ello, respetar la normativa de protección de datos, ya que los incumplimientos pueden afectar a los derechos y libertades de los trabajadores, como por ejemplo dándose una pérdida de confidencialidad de las direcciones de e-mail, por lo que se desestima la presente alegación. IV Obligación incumplida. Integridad y confidencialidad La letra
  3. f)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
  4. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/15 De acuerdo con las evidencias de las que se dispone y conforme a lo expuesto anteriormente, en el presente caso, se ha acreditado que los datos personales, (las direcciones de correo electrónico), fueron indebidamente expuestos a todos los destinatarios, con el envío de los mencionados correos sin la utilización de la función de Copia Oculta. En las comunicaciones desarrolladas en el desarrollo de la actividad profesional resulta de vital importancia mantener la privacidad y confidencialidad de las cuentas de correo electrónico de los interesados, máxime si se trata de cuentas de correo personales y privadas. Hacer visibles las direcciones electrónicas de todos los destinatarios expondría a los mismos a que sus cuentas de correo electrónico fueran utilizadas sin su conocimiento para fines distintos para las que fueron suministradas originariamente, por no mencionar que en la actualidad, las direcciones de correo electrónico constituyen un activo muy interesante para los ciberdelincuentes, puesto que abren la posibilidad de acceso a información estratégica y confidencial, así como a la difusión de softwares maliciosos o de contenidos no solicitados. En este caso, de acuerdo con las actuaciones de investigación realizadas en el curso de este procedimiento y de acuerdo con la documentación que obra en el expediente, en concreto, con las capturas de pantalla aportadas por la parte reclamante que constan con fecha 7/07/2023, se ha acreditado que se envió un correo electrónico desde la dirección de correo-e: “(…) ***EMAIL.1 >” a un total de treinta y dos destinatarios sin la utilización de la función de copia oculta y , revelando, por tanto, a todos los destinarios las direcciones. Por tanto, a tenor de lo expuesto anteriormente y de conformidad con las evidencias de que se dispone, se considera que los hechos conocidos son constitutivos de una infracción, imputable a A.A.A., por vulneración del artículo 5.1.
  5. f)del RGPD V Tipificación de la infracción del artículo 5.1.
  6. f)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  7. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, “Infracciones”, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/15 A los efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  8. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." VI Propuesta de apercibimiento Para el caso de que concurra una infracción de los preceptos del RGPD, entre los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, el artículo 58.2 de dicho Reglamento contempla los siguientes: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  9. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…) El artículo 64.3 de la LOPDGDD establece que la AEPD, previa audiencia al responsable o encargado del tratamiento podrá dirigir un apercibimiento. En el presente caso, atendida la naturaleza de los hechos y circunstancias expuestas en los Fundamentos de Derecho precedentes, se estima que por la infracción del artículo anteriormente mencionado procede dirigir a A.A.A. un apercibimiento. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR UN APERCIBIMIENTO a A.A.A., con NIF ***NIF.1, por una infracción del Artículo 5.1.
  10. f)del RGPD, tipificada en el Artículo 83.5.
  11. a)del RGPD. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/15 interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  12. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1403-180725 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.