1/15 Expediente N.º: EXP202406809 RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: El 5 de abril de 2024 la Agencia Española de Protección de Datos ha tenido conocimiento de ciertos hechos que podrían constituir una posible infracción imputable a UNIÓN SINDICAL OBRERA DE LA COMUNIDAD VALENCIANA con NIF G46872354 (en adelante, USOCV o el sindicato). Los hechos que se ponen en conocimiento de esta autoridad son: El 8 de febrero de 2024, se celebró una reunión del Comité de Seguridad y Salud Laboral de la Diputación Provincial de Castellón (en adelante, la Diputación), aportándose a los miembros del Comité la ***DOCUMENTO.1, en donde constan con nombres y apellidos, la totalidad del personal al servicio de la Diputación, con la totalidad de la información relativa a los exámenes de salud realizados al mencionado personal con los protocolos médicos específicos aplicados. Ese mismo día, el sindicato envió, por correo electrónico, a la totalidad del personal de la Diputación, toda la información adjuntada a los integrantes del Comité de Seguridad y Salud Laboral, incluida la ***DOCUMENTO.1, sin haber anonimizado ningún dato. Junto a su escrito de denuncia ante la AEPD aporta, entre otra documentación:
- a)***DOCUMENTO.1 de la Diputación, elaborado por UNIMAT PREVENCIÓN, en el que, además de figurar estadísticas y gráficas anonimizadas, se incluye lo siguiente: o Contiene, entre otras informaciones, además de la referencia a la normativa de aplicación sobre prevención de riesgos laborales, una descripción de los exámenes de salud que se llevan a cabo y de los protocolos de vigilancia de la salud. (…).
- b)correo electrónico del sindicato enviado a los trabajadores de la Diputación, con fecha de 8 de febrero de 2024 a las 14:32:21 horas, con asunto “1º- COMITÉ SEGURIDAD Y SALUD LABORAL” con el siguiente contenido: “Estimados/as compañeros/as os informamos de la reunión mantenida hoy 8 de febrero del Comité de Seguridad y Salud Laboral. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/15 Orden del día (…)” En el correo electrónico figuran como documentos adjuntos: - (…) SEGUNDO: Con fecha 6 de mayo de 2024 la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD) para investigar a USOCV. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. - En fecha 10/6/2024, se requirió por la SGID a USOCV información y documentación en relación con los hechos denunciados. En fecha 25/6/2024 tuvo entrada en esta Agencia escrito de respuesta del sindicato en el que pone de manifiesto lo siguiente: o El documento ***DOCUMENTO.1 se facilitó desde la propia Diputación de Castellón a todos los miembros del Comité de Seguridad y Salud Laboral, del que forma parte el delegado de prevención de riesgos laborales de USOCV y el resto de los delegados de prevención de riesgos laborales. o El delegado de prevención de riesgos laborales de USOCV en la Diputación de Castellón, fue la persona que, por error, envió el correo con este archivo a todos los contactos de los que disponía de los trabajadores de la Diputación de Castellón, no a todos los trabajadores. o Aportan copia del documento elaborado por el Delegado de Protección de Datos (documento 2 adjunto al escrito de respuesta) en el que se recogen recomendaciones de las acciones que se deben adoptar por el Secretario Autonómico de USOCV, tras el incidente, en base al cual manifiestan haber realizado las siguientes actuaciones: C/ Jorge Juan, 6 28001 – Madrid Petición de información y documentación al delegado USOCV de la Diputación de los hechos relacionados con el presente procedimiento, tanto telefónicamente como por vía correo electrónico y petición copias documentos y correos electrónicos. (entre el día 14 de junio 2024 y el 24 de junio 2024) Petición por parte de USOCV al delegado de prevención de su sindicato en la Diputación para que enviara un correo electrónico a www.aepd.es sedeaepd.gob.es 3/15 todos sus contactos, los mismos que recibieron el correo el día 8 de febrero, pidiendo disculpas por la documentación remitida, en referencia al correo enviado por él mismo el día 8 de febrero de 2024. Aporta como documento 3 copia del correo electrónico remitido el 17 de junio de 2024, con asunto “DISCULPAS POR ERROR EN ENVÍO DE DOCUMENTACIÓN”. Revisión de las circulares de información de USOCV sobre protección de datos enviadas a los responsables de Federaciones y Sectores que a su vez envían a los representantes sindicales. (entre el día 14 de junio 2024 y el 20 de junio 2024) Revisión normativa interna sobre el tratamiento de datos personales. (entre el día 14 de junio 2024 y el 20 de junio 2024) Reuniones con el delegado de protección de datos. (14 de junio 2024, el 19 de junio 2024 y 21 de junio 2024) Elaboración, incluyendo cambios y recomendaciones, de los documentos internos sobre protección de datos y traslado de los cambios y recomendaciones al Secretariado Autonómico de USOCV para su aprobación. (entre el 17 y el 24 junio 2024) Reuniones Secretariado Autonómico para adoptar medidas para poder evitar estos incidentes. (14 y 24 junio 2024) Propuesta de envío del nuevo documento elaborado a todos los responsables de Federaciones/Sectores USOCV y que estos den traslado en cada ámbito a todos los representantes sindicales de la Organización (propuesta de envío última semana junio 2024). Respecto a las decisiones adoptadas a propósito de esta reclamación. o Manifiestan que se realizó una petición de información y documentación al delegado USOCV de la Diputación de Castellón, por el que se presenta la reclamación, tanto telefónicamente como por vía correo electrónico y petición copias documentos y correos electrónicos. (entre el día 14 de junio 2024 y el 24 de junio 2024). o Petición por parte de USOCV al delegado de envío de correo electrónico el 17 de junio de 2024 a todos sus contactos, los mismos que recibieron el correo el día 8 de febrero, pidiendo DISCULPAS POR ERROR EN ENVÍO DE DOCUMENTACIÓN en referencia al correo enviado por él mismo el día 8 de febrero de 2024. Aportan copia del correo enviado por la Secretaría General de USOCV al delegado en cuyo contenido se pide disculpas por el error en el envío de la documentación (documento 3 adjunto al escrito de respuesta). o Manifiestan que se hizo una revisión de las circulares de información USOCV sobre protección de datos enviadas a los responsables de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/15 Federaciones y Sectores que a su vez envían a los representantes sindicales. (entre el día 14 de junio 2024 y el 20 de junio 2024). Aportan copia del documento “CIRCULAR INFORMATIVA SOBRE SOBRE PROTECCIÓN DE DATOS EN LAS COMUNICACIONES SINDICALES Y LABORALES” dirigido a “RESPONSABLES DE FEDERACIONES, SECTORES, UNIONES Y DELEGADOS USOCV”, fechado el 20/6/2024. o Manifiestan que se hizo una revisión normativa interna sobre el tratamiento de datos personales. (entre el día 14 de junio 2024 y el 20 de junio 2024). Como acreditación aportan copia del documento “Protocolo comunicación y redes USOCV”, que incluye los principios generales y objetivos de la presencia sindical, así como recomendaciones para crear cuentas en las diferentes redes, sus usos, lenguajes y criterios de estilo. Contiene un punto especifico de sobre protección de datos en el que se especifica que “Tenemos que cuidar las comunicaciones para cumplir la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, y el Reglamento General de Protección de Datos, tanto por parte del sindicato, como por nuestros dirigentes, delegados y afiliados” y un punto relativo al uso de las cuentas de correo electrónico. o Manifiestan que hubo reuniones con el delegado de protección de datos. (14 de junio 2024, el 19 de junio 2024 y 21 de junio 2024). Aportan certificado del DPD de fecha 25/3/2025 con el siguiente contenido: “CERTIFICO HABER TRASLADADO LAS RECOMENDACIONES COMO DPD USOCV AL SECRETARIADO AUTONÓMICO Después de tener conocimiento por parte de la Secretaría General de USOCV de la reclamación interpuesta y la comunicación recibida por parte de la AEPD, mantuve varias reuniones con el Secretariado Autonómico los días 14, 19 y 21 de junio de 2024, dando finalmente traslado a los responsables de USOCV de las siguientes RECOMENDACIONES: 1. Envío por parte del delegado de USOCV de Prevención de Riesgos Laborales en la Diputación de Castellón de correo de disculpa y rectificación a todos los trabajadores de la Diputación de Castellón por difundir datos personales de trabajadores. 2. Añadir cambios a las comunicaciones internas-circulares en el ámbito de la acción sindical, tanto entre delegados USOCV, como con otros miembros de Comités de Empresa o Juntas de personal. 3. Elaborar una nueva circular con cambios, añadiendo el cuidado en las comunicaciones y en el tratamiento de datos personales de compañeros de Comités de Empresa o miembros de Junta de Personal, delegados de Prevención de Riesgos Laborales y en general. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/15 4. Enviar NUEVA circular a todos los responsables USOCV de Uniones/Federaciones/Sectores y que a su vez lo comuniquen a los delegados y representantes sindicales. 5. Realizar en 2024 cursos en las 3 provincias, Alicante, Castellón y Valencia sobre Protección de Datos dirigidos a delegados y responsables sindicales de USOCV presenciales, además de fomentar la participación de los delegados en los que ya se organizan online. 6. Propuesta de envío del nuevo documento elaborado a todos los responsables de Federaciones/Sectores USOCV y que estos den traslado en cada ámbito a todos los representantes sindicales de nuestra Organización (propuesta de envío a finales junio 2024) Que fueron todas ellas tenidas en cuenta.” o Manifiestan que se hizo una elaboración, incluyendo cambios y recomendaciones, de los documentos internos sobre protección de datos y traslado de los cambios y recomendaciones al Secretariado Autonómico de USOCV para su aprobación. (entre el 17 y el 24 junio 2024). Aportan copia del documento “política de Privacidad”. o Manifiestan que hubo reuniones con el Secretariado Autonómico para adoptar medidas para poder evitar estos incidentes. (14 y 24 junio 2024). Aportan el documento “Asunto: CERTIFICADO SOBRE LAS REUNIONES MANTENIDAS POR EL SECRETARIADO AUTONÓMICO Y MEDIDAS ADOPTADAS PARA EVITAR QUE SE PRODUZCAN INCIDENCIAS SIMILARES”, de fecha 25 de marzo de 2025. o Propuesta de envío del nuevo documento elaborado a todos los responsables de Federaciones/Sectores USOCV y que estos den traslado en cada ámbito a todos los representantes sindicales de la Organización (propuesta de envío última semana junio 2024), en referencia a los documentos “política de privacidad” y la guía de la AEPD “La protección de datos en las relaciones laborales” publicada en mayo de 2021. Respecto a las causas que han motivado el incidente o Aportan “INFORME USOCV SOBRE LAS CAUSAS QUE HAN MOTIVADO LA INCIDENCIA” suscrito por la Secretaría General USOCV de fecha 24/6/2024 (documento 4 adjunto al escrito de respuesta) en el que manifiestan: C/ Jorge Juan, 6 28001 – Madrid Que la causa principal se debe a la mala relación entre los miembros de la Junta de Personal de la Diputación de Castellón, pertenecientes a distintos sindicatos. Aunque haya cometido el error y haya pedido disculpas por el mismo en fecha 17 de junio 2024 por difundir datos personales entre sus contactos, viene sufriendo desde hace años persecución sindical por parte de algunos compañeros/as de la Junta de Personal. www.aepd.es sedeaepd.gob.es 6/15 También se debe al desconocimiento por parte de algunos de los delegados, sobre la protección de datos y que la información personal, en este caso, es confidencial. Respecto a las medidas adoptadas para evitar que se produzcan incidencias similares o Aportan el documento “INFORME SOBRE LAS MEDIDAS ADOPTADAS PARA EVITAR QUE SE PRODUZCAN INCIDENCIAS SIMILARES, FECHAS DE IMPLANTACIÓN Y CONTROLES EFECTUADOS PARA COMPROBAR SU EFICACIA” (documento 4 adjunto al escrito de respuesta) fechado el día 25/6/2024 y firmado por la Secretaría General de USOCV, en el que se informa de que: “en el Secretariado Autonómico de USOCV celebrado el 24 de junio de 2024, se adoptaron los siguientes acuerdos: “1 - Aceptar todas las RECOMENDACIONES propuestas por el Delegado de Protección de Datos USOCV: • Revisar normativa interna de comunicaciones en el ámbito sindical USOCV. (junio 2024) • Añadir cambios a las comunicaciones internas-circulares en el ámbito de la acción sindical, tanto entre delegados USOCV, como con otros miembros de Comités de Empresa o Juntas de personal. (junio y julio 2024) • Elaborar una nueva circular con cambios, añadiendo el cuidado en las comunicaciones y en el tratamiento de datos personales de compañeros de Comités de Empresa o miembros de Junta de Personal y en general. (junio 2024) • Enviar NUEVA circular a todos los responsables USOCV de Uniones/Federaciones/Sectores y que a su vez lo comuniquen a los delegados y representantes sindicales. (final junio 2024) • Realizar en 2024 cursos en las 3 provincias, Alicante, Castellón y Valencia sobre Protección de Datos dirigidos a delegados y responsables sindicales de USOCV. presenciales, además de fomentar la participación de los delegados en los que ya se organizan online. (tercer y cuarto trimestre 2024) • Propuesta de envío del nuevo documento elaborado a todos los responsables de Federaciones/Sectores USOCV y que estos den traslado en cada ámbito a todos los representantes sindicales de nuestra Organización (propuesta de envío finales junio 2024) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/15 2. Llevar a término la mayoría de las recomendaciones durante el tercer trimestre de 2024, con la prioridad de enviar la nueva circular la última semana de junio 2024 a todos los responsables sindicales de USOCV y realizar los cursos entre el tercer y cuarto trimestre 2024. 3. Informar puntualmente de los envíos y acciones al DPD a medida que se vayan llevando a cabo.” CUARTO: Con fecha 13 de octubre de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a la parte reclamada, por la presunta infracción del Artículo 9 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: La notificación del citado acuerdo de iniciación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogida en fecha 14 de octubre de 2025 como consta en el acuse de recibo que obra en el expediente. SEXTO: Una vez transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: En fecha 8 de febrero de 2024 se celebró una reunión del Comité de Seguridad y Salud Laboral de la Diputación Provincial de Castellón. SEGUNDO: En dicha reunión se aportó la ***DOCUMENTO.1 de la Diputación, elaborado por UNIMAT PREVENCIÓN, en la que se incluía una descripción de los exámenes de salud que se llevan a cabo y los protocolos de vigilancia de la salud. TERCERO: Dicha Memoria incluye un punto 2 de “(…). CUARTO: Dicha Memoria recoge un punto “(…)”. QUINTO: Dicha Memoria incluye en el punto (…). SEXTO: En fecha 8 de febrero de 2024 a las 14:32:21 USOCV envió un correo electrónico con el asunto “1º-COMITÉ SEGURIDAD Y SALUD LABORAL” en el que informaba de la reunión celebrada ese mismo día del Comité de Seguridad y Salud Laboral y adjuntaba los siguientes documentos: - (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/15 SÉPTIMO: La documentación enumerada en el hecho anterior se corresponde con la totalidad de la información adjuntada a los integrantes del Comité de Seguridad y Salud Laboral, incluida la ***DOCUMENTO.1 de la Diputación. OCTAVO: Los datos personales contenidos en la ***DOCUMENTO.1 de la Diputación no se encontraban anonimizados. NOVENO: El 25/06/2024 USOCV ha reconocido ante esta Agencia que el citado archivo se envió por el delegado de prevención de riesgos laborales de USOCV en la Diputación de Castellón a todos los contactos de los que disponía de los trabajadores de la Diputación de Castellón. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/15 utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que USOCV difundió mediante correo electrónico de 8 de febrero de 2024, los datos personales de los trabajadores de la Diputación -incluidos datos de salud- contenidos en la ***DOCUMENTO.1 de la Diputación, elaborado por UNIMAT PREVENCIÓN. USOCV realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III Obligación incumplida. Tratamiento de categorías especiales de datos personales El artículo 9 del RGPD, que regula el tratamiento de categorías especiales de datos personales, establece lo siguiente: "1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física. 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
- a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
- b)el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión o de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/15
- c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;
- d)el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;
- e)el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
- f)el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
- g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
- h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
- i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional;
- j)el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado. 3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes. 4. Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/15 Hay que señalar que los datos de categoría especial son aquellos datos personales cuyo tratamiento requiere de una protección reforzada, debido a su incidencia especial en la intimidad, las libertades públicas y los derechos fundamentales de la persona. Así considerados, su tratamiento, en principio, está prohibido por el RGPD, salvo que exista alguna de las circunstancias indicadas en el artículo 9.2 del RGPD. Por tanto, los datos de categoría especial son datos personales que, por su importancia para la privacidad del individuo, han de ser tratados con mayor cuidado y siguiendo unos requisitos especiales. El Considerando 71 señala : “sobre las decisiones automatizadas y la elaboración de perfiles, los responsables del tratamiento deben utilizar métodos que corrijan «los factores que introducen inexactitudes en los datos personales y reduzcan al máximo el riesgo de error, asegurar los datos personales de forma que se tengan en cuenta los posibles riesgos para los intereses y derechos del interesado e impedir, entre otras cosas, efectos discriminatorios en las personas físicas por motivos de raza u origen étnico, opiniones políticas, religión o creencias, afiliación sindical, condición genética o estado de salud u orientación sexual, o tratamiento que dé lugar a medidas que produzcan tal efecto”. (el subrayado es de la AEPD). Dentro de los datos de categoría especial figuran los datos de salud, que el artículo 4.15 del RGPD define” como “datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud”. El Considerando 35 del RGPD aclara dicha definición señalando que “Entre los datos personales relativos a la salud se deben incluir todos los datos relativos al estado de salud del interesado que dan información sobre su estado de salud física o mental pasado, presente o futuro. Se incluye la información sobre la persona física recogida con ocasión de su inscripción a efectos de asistencia sanitaria, o con ocasión de la prestación de tal asistencia, de conformidad con la Directiva 2011/24/UE del Parlamento Europeo y del Consejo; todo número, símbolo o dato asignado a una persona física que la identifique de manera unívoca a efectos sanitarios; la información obtenida de pruebas o exámenes de una parte del cuerpo o de una sustancia corporal, incluida la procedente de datos genéticos y muestras biológicas, y cualquier información relativa, a título de ejemplo, a una enfermedad, una discapacidad, el riesgo de padecer enfermedades, el historial médico, el tratamiento clínico o el estado fisiológico o biomédico del interesado, independientemente de su fuente, por ejemplo un médico u otro profesional sanitario, un hospital, un dispositivo médico, o una prueba diagnóstica in vitro.” Conviene señalar que, el Tribunal de Justicia de la Unión Europea (TJUE) ha consignado un concepto amplio de los datos de salud. Así, de conformidad con la STJUE de 4 de octubre de 2024, en el asunto C 21/23 (el subrayado es de la AEPD): “76 Entre estas categorías especiales de datos personales, que se enumeran en el artículo 8, apartado 1, de la Directiva 95/46 y en el artículo 9, apartado 1, del RGPD, figuran los datos relativos a la salud. Estos incluyen, de conformidad con el artículo 4, punto 15, del Reglamento, en relación con su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/15 considerando 35, todos los datos personales que revelen información sobre el estado de salud física o mental pasado, presente o futuro de una persona física, incluidos los datos relativos a la prestación de servicios de atención sanitaria a esa persona. 81 A este respecto, el Tribunal de Justicia ya ha declarado que, a la vista del objetivo de la Directiva 95/46 y del RGPD, de asegurar un alto nivel de protección de las libertades y de los derechos fundamentales de las personas físicas, en particular, de su intimidad, en relación con el tratamiento de los datos personales que las afectan, el concepto de «datos relativos a la salud» previsto en el artículo 9, apartado 1, de dicho Reglamento y en el artículo 8, apartado 1, de la citada Directiva debe interpretarse de forma amplia (véanse, en este sentido, las sentencias de 6 de noviembre de 2003, Lindqvist, C 101/01, EU:C:2003:596, apartado 50, y de 1 de agosto de 2022, Vyriausioji tarnybinės etikos komisija, C 184/20, EU:C:2022:601, apartado 125)”. Asimismo, la misma STJUE determina que cuando el tratamiento de datos personales pueda revelar indirectamente informaciones sensibles de una persona, dichos datos se encuadran en el régimen previsto en el artículo 9 del RGPD: “82 En particular, no cabe interpretar tales disposiciones en el sentido de que el tratamiento de datos personales que puedan desvelar indirectamente informaciones sensibles sobre una persona física queda fuera del régimen de protección reforzado establecido por las mencionadas disposiciones, pues de quedar fuera se menoscabaría el efecto útil de ese régimen y la protección de las libertades y de los derechos fundamentales de las personas físicas que pretende garantizar (sentencia de 1 de agosto de 2022, Vyriausioji tarnybinės etikos komisija, C 184/20, EU:C:2022:601, apartado 127)“. En la misma línea, la mencionada sentencia determina que las categorías especiales de datos personales están sometidos a la prohibición del art. 9 del RGPD independientemente de que sea información exacta o no y de que el tratamiento tenga por finalidad obtener datos personales que pertenezcan a dicha categoría: “87 Esta prohibición de principio es independiente de que la información revelada por el tratamiento en cuestión sea o no exacta y de que dicho farmacéutico actúe con el fin de obtener información comprendida en alguna de las categorías especiales contempladas en el artículo 8, apartado 1, de la Directiva 95/46 y el artículo 9, apartado 1, del RGPD. En efecto, teniendo en cuenta los riesgos significativos para las libertades fundamentales y los derechos fundamentales de los interesados, generados por cualquier tratamiento de datos personales comprendidos en tales categorías, estas disposiciones tienen por objeto prohibir dichos tratamientos, con independencia de la finalidad que expresen y de la exactitud de la información en cuestión [véase, en este sentido, la sentencia de 4 de julio de 2023, Meta Platforms y otros. (Condiciones generales del servicio de una red social), C 252/21, EU:C:2023:537, apartados 69 y 70]”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/15 Por su parte, la STS de 8 de octubre, en el recurso de casación 1920/21, reafirma el concepto amplio de datos de salud, al indicar que: “(…) cabe subrayar, al respecto, que la lectura del artículo 4.15 y del considerando 35 del Reglamento general de protección de datos avalan, tal como sostiene la sentencia de la Audiencia Nacional impugnada, la inclusión de la noción de "datos relativos a Ia salud" de los datos referidos al estado de salud de los deportistas, pues, aunque la normativa de la Unión Europea no contiene ninguna previsión especifica acerca de los datos relacionados con la aplicación de las técnicas de control del dopaje, define en un sentido amplio el tratamiento de los datos de salud. El considerando 35 del citado Reglamento (ÜE) 2016/679 incluye específicamente, entre los datos relativos a la salud, todos los datos relativos al estado de salud de! interesado que dan información sobre su estado de salud física o mental pasado, presente o futuro, incluyendo la información sobre la persona física recogida con ocasión de su inscripción a efectos de asistencia sanitaria, o con ocasión de la prestación de tal asistencia, de conformidad”. En el presente caso, uno de los delegados de prevención de USOCV, tal y como ha reconocido ésta, envió un correo electrónico, el día 8 de febrero de 2024 a las 14:32:21, a todo el personal de la Diputación de cuyo contacto disponía, en el que se adjuntaba copia de ***DOCUMENTO.1. La mencionada Memoria, incluye listados completos de (…), considerándose datos de salud a efectos de la normativa recogida anteriormente. En consecuencia, la remisión mediante correo electrónico de la misma supone la difusión de datos personales de todos los trabajadores de la Diputación, sin anonimizar, e incluyendo categorías especiales de datos (datos de salud), por lo que debe regirse, en consecuencia, por lo previsto en el artículo 9 del RGPD y, por tanto, debe contar con alguna de las excepciones que levanten la prohibición de tratamiento. Tal y como se ha señalado, las circunstancias que permiten el levantamiento de la prohibición del tratamiento de datos de salud establecida por el artículo 9.1 vienen determinadas en el artículo 9.2 del RGPD. Es decir, es necesario que concurra alguna de las premisas establecidas en el mencionado artículo para que se pueda llevar a cabo el tratamiento de datos de salud. Estas excepciones han de interpretarse de manera restrictiva, tal y como se desprende de los considerandos del 51 al 56 del RGPD. No obstante, la remisión de ***DOCUMENTO.1 por parte del sindicato carece de ninguna de las excepciones previstas en el artículo 9.2 del RGPD que permitirían el levantamiento de la prohibición del tratamiento de datos de salud. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de resolución de procedimiento de apercibimiento, se considera que los hechos conocidos son constitutivos de una infracción, imputable a USOCV, por vulneración del artículo 9 del RGPD transcrito anteriormente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/15 IV Tipificación de la infracción del artículo 9 del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- e)El tratamiento de datos personales de las categorías a las que se refiere el artículo 9 del Reglamento (UE) 2016/679, sin que concurra alguna de las circunstancias previstas en dicho precepto y en el artículo 9 de esta ley orgánica." V Apercibimiento por la infracción del artículo 9 del RGPD Para el caso de que concurra una infracción de los preceptos del RGPD, entre los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, el artículo 58.2 de dicho Reglamento contempla los siguientes: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
- b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…) El artículo 64.3 de la LOPDGDD establece que la AEPD, previa audiencia al responsable o encargado del tratamiento podrá dirigir un apercibimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/15 En el presente caso, atendida la naturaleza de los hechos y circunstancias expuestas en los Fundamentos de Derecho precedentes, se estima que por la infracción del artículo 9 del RGPD anteriormente mencionado procede dirigir a UNIÓN SINDICAL OBRERA DE LA COMUNIDAD VALENCIANA un apercibimiento. Por lo tanto, de acuerdo con la legislación aplicable, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR UN APERCIBIMIENTO a UNIÓN SINDICAL OBRERA DE LA COMUNIDAD VALENCIANA, con NIF G46872354, por una infracción del artículo 9 del RGPD, tipificada en el artículo 83.5 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a UNIÓN SINDICAL OBRERA DE LA COMUNIDAD VALENCIANA. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1403-241125 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es