1/9 Expediente N.º: EXP202309272 RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 26 de mayo de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra ASOCIACIÓN INSERTA EMPLEO con NIF G85563302 (en adelante, la parte reclamada o Inserta). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que era beneficiaria del programa ***PROGRAMA.1, que realizaba a través de la entidad reclamada y que en fecha 11 de mayo de 2023 comunicó a dicha entidad su contratación por el Ayuntamiento de ***LOCALIDAD.1 por lo que se debía tramitar su baja en el programa del que formaba parte y se debía comunicar al SEPE su baja como usuario del mismo. Así las cosas, la responsable del programa le solicitó copia del contrato de trabajo suscrito por la parte reclamante con el Ayuntamiento de ***LOCALIDAD.1, si bien la parte reclamante considera que la solicitud de dicho contrato es excesiva, al contener datos salariales y otros conceptos que no considera necesarios, habiendo remitido copia de vida laboral, certificado de contrato de trabajo descargado de la web del SEPE y comunicación del contrato en el SEPE con contrat@2, pese a lo cual le han continuado reclamando copia del contrato para cursar su baja. Y, aporta la siguiente documentación relevante: Correos intercambiados con la parte reclamada. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, fue recogido por el responsable, el 11 de julio de 2023, como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 26 de agosto de 2023, de conformidad con el artículo 65 de la LOPGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 1 de febrero de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a la parte reclamada, por la presunta infracción del artículo 5.1.
- c)del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), tipificada en el artículo 83.5.
- a)del RGPD. QUINTO: La notificación del citado acuerdo de iniciación, que se practicó conforme a las normas establecidas LPACAP, se practicó por medio electrónico y tuvo acceso a su contenido el día 6 de febrero de 2024 como consta en el acuse de recibo que obra en el expediente. SEXTO: En fecha 20 de febrero de 2024, se recibe escrito de alegaciones de la parte reclamada en el que, en síntesis, se recogen las siguientes consideraciones: 1. Inserta reconoce que solicitó a la parte reclamante el contrato de trabajo. Que la parte reclamante remitió a Inserta el contrato de trabajo seudonimizado. En el contrato de trabajo remitido por el reclamante se han ocultado diversos datos personales del mismo, teniendo acceso Inserta únicamente a su nombre, apellidos, fecha de nacimiento y nacionalidad. 2. Inserta, manifiesta que ha planificado la impartición de una formación en materia de protección de datos y seguridad de la información que será obligatoria para todos los empleados de Inserta. En este sentido se hará hincapié en el principio de minimización en aras que la situación que trae causa el acuerdo de inicio de procedimiento de apercibimiento no vuelva a suceder en un futuro. 3. La parte reclamada va a remitir una comunicación general a todos los empleados en aras de sensibilizar y concienciar a su personal de la importancia de atender al cumplimiento de la normativa de protección de datos. Adjuntando la comunicación enviada a todo personal. 4. Inserta prevé la confección de una infografía enfocada en los principios relativos al tratamiento de datos de carácter personal. 5. La parte reclamada ha iniciado la elaboración de un procedimiento de actuación donde se definan cuáles son los datos que podrán solicitarse, con quien contactar en caso de duda y cuáles son las directrices que en materia de protección de datos que deberán tenerse en cuenta en aquellos casos en los que se solicite a los interesados la acreditación cuya remisión pueda revelar datos personales que puedan llegar a ser considerados excesivos en relación con el motivo en que se funda la solicitud. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Consta en el expediente correo electrónico enviado, el día 11 de mayo de 2023, por el reclamante a la parte reclamada, en el que se informa a Inserta, que debe abandonar el programa ***PROGRAMA.1 celebrado con ellos dado que empieza a trabajar en la administración local, y adjunta una serie de documentación, copia de su vida laboral, certificado del contrato de trabajo realizado por el SEPE y correos intercambiados con la parte reclamada. SEGUNDO: Obra en el expediente correo electrónico enviado por la parte reclamada a la parte reclamante de fecha 12 de mayo de 2023, en donde se le manifiesta que para justificar la baja del reclamante por colocación, necesitarán el contrato de trabajo, que con la comunicación del contrato, no pueden justificar su colocación. TERCERO: Consta en el expediente que con fecha 20 de febrero de 2024 D. B.B.B. (responsable del Comité Delegado de Protección de Datos de Ilunion y de Fundación ONCE) envía correo electrónico a D. C.C.C. y a D. D.D.D. en el que solicita que se envíe a los trabajadores del Programa ***PROGRAMA.1 un correo modelo para que no soliciten más datos necesarios, con el siguiente contenido: “(…) Recordemos siempre: - Recopilar solo la información necesaria y relevante para el propósito específico. Por ejemplo: En el momento en que se recaba el CV de un candidato, no se deberá solicitar información relativa a la afiliación sindical o creencias religiosas. Limitar el acceso a datos personales solo a aquellas personas que lo requieran para cumplir con sus funciones. Por ejemplo: Solo el equipo de reclutamiento y selección debe tener acceso a la información completa de los candidatos, y dicho acceso debe limitarse a los detalles necesarios para llevar a cabo procesos de selección. Asegurar la eliminación segura o bloqueo de los datos cuando ya no sean necesarios para el propósito para el que fueron recopilados. Por ejemplo: En caso de que un candidato finalmente no sea seleccionado y su perfil no sea de interés para la entidad, se deberán suprimir todos aquellos datos que estaban siendo tratados en el marco del proceso de selección. Por último, cabe recordar que el acceso a datos personales debe manejarse con la mayor confidencialidad posible, y cualquier consulta o divulgación adicional de esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 información debe hacerse solo con la autorización adecuada (…)”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control con lo establecido en los artículos 47, 48.1 y 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Respuesta alegaciones En respuesta a las alegaciones presentadas por la parte reclamada cabe señalar lo siguiente: Inserta reconoce en sus alegaciones, de fecha 20 de febrero de 2024, que solicitó a la parte reclamante el contrato de trabajo suscrito con el Ayuntamiento de ***LOCALIDAD.1. Pues bien, tal manifestación pone de relieve que la entidad incumplió con el principio de minimización de datos personales, al solicitar datos personales innecesarios para la finalidad pretendida, toda vez que ya habían sido aportados por el reclamante En la actualidad, la parte reclamada ha implantado una serie de medidas: formación en materia de protección de datos personales y seguridad de la información que será obligatoria para todos los empleados de Inserta, comunicación general a todos empleados en aras de sensibilizar y concienciar a su personal de la importancia del cumplimiento de la normativa de protección de datos de carácter personal en relación con el desempeño de sus funciones laborales, poniendo el foco en el principio de minimización y su implicación en la realización de cualquier tratamiento de datos de carácter personal (adjuntando dicho documento), confección de una infografía y elaboración de un procedimiento de actuación. Dichas medidas la Agencia las valora, pero, no obstante, no son óbice para que se produzca el archivo del procedimiento, toda vez que la infracción del artículo 5.1
- c)del RGPD se ha cometido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 III Cuestiones Previas El artículo 4 del RGPD, bajo la rúbrica “Definiciones”, dispone lo siguiente: “1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; Asociación Inserta Empleo es una agencia de colocación certificada por el Servicio Público de Empleo. Para el desarrollo de su actividad trata datos de carácter personal en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del citado artículo 4.7 del RGPD. IV Obligación incumplida El artículo 5.1.
- c)del RGPD establece que los datos personales serán: “
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»).” El programa, ***PROGRAMA.1, en el que participaba la parte reclamante, está dirigido, entre otros requisitos, a demandantes de empleo. Cuando uno de sus participantes consigue un puesto de trabajo, ha de comunicar y acreditar tal circunstancia a la Asociación Inserta Empleo, entidad a través de la cual se realiza el mencionado programa. En el presente caso, la parte reclamante, al ser contratada por el Ayuntamiento de ***LOCALIDAD.1, solicitó a la parte reclamada su baja en el programa ***PROGRAMA.1. A tal efecto, remitió a la parte reclamada copia de la vida laboral, certificado del contrato de trabajo descargado de la web del SEPE y comunicación del contrato en el SEPE con contrat@2. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 A pesar de lo anterior, la parte reclamada ha solicitado a la parte reclamante copia del contrato de empleo para cursar tal baja. En los contratos de trabajo constan datos de carácter personal (datos económicos) que no son necesarios para que el responsable del tratamiento cumpla con la finalidad de dar por acreditada la nueva ocupación laboral del participante en el programa a efectos de darle baja. Y toda vez que en el presente caso ya había remitido la parte reclamante documentos acreditativos de su nueva situación laboral, se considera que la parte reclamada ha incumplido con el artículo 5.1
- c)del RGPD, al exigir copia del contrato de trabajo, el cual contiene datos excesivos para cumplir con la finalidad de acreditar la colocación laboral y, por tanto, darle de baja en el programa, ***PROGRAMA.1. V Tipificación y calificación de la infracción De conformidad con las evidencias de las que se dispone en el presente momento del acuerdo de inicio del procedimiento de apercibimiento, y sin perjuicio de lo que resulte de la instrucción, se considera que la parte reclamada ha cometido una infracción del principio de minimización de datos regulado en el artículo 5.1.
- c)del RGPD. La infracción se tipifica en el artículo 83.5 del RGPD, que considera como tal: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72.
- a)de la LOPDGDD, que califica de muy grave la siguiente conducta: “
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679”. VI Apercibimiento Sin perjuicio de lo dispuesto en el apartado artículo 83 del RGPD, el citado Reglamento dispone en el apartado 2.
- b)del artículo 58 “Poderes” lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
- b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)” Asimismo, el artículo 64 de la LOPDGDD que regula la “Forma de iniciación del procedimiento y duración”, en su apartado tercero dispone que: “3. Cuando así proceda en atención a la naturaleza de los hechos y teniendo debidamente en cuenta los criterios establecidos en el artículo 83.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, la Agencia Española de Protección de Datos, previa audiencia al responsable o encargado del tratamiento, podrá dirigir un apercibimiento, así como ordenar al responsable o encargado del tratamiento que adopten las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos de una determinada manera y dentro del plazo especificado. El procedimiento tendrá una duración máxima de seis meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones. Será de aplicación en este caso lo dispuesto en los párrafos segundo y tercero del apartado 2 de este artículo.” VII Adopción de medidas Se impone al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La AEPD tiene constancia de que la parte reclamada está implantado una serie de medidas: formación en materia de protección de datos personales y seguridad de la información que será obligatoria para todos los empleados de Inserta, comunicación general a todos empleados en aras de sensibilizar y concienciar a su personal de la importancia del cumplimiento de la normativa de protección de datos de carácter personal en relación con el desempeño de sus funciones laborales, poniendo el foco en el principio de minimización y su implicación en la realización de cualquier tratamiento de datos de carácter personal (adjuntando dicho documento), confección de una infografía y elaboración de un procedimiento de actuación. No obstante, la AEPD ha de advertir nuevamente sobre la necesidad de implantar dichas medidas, dado que la parte reclamada se refiere únicamente a las medidas que va a tomar, que está planificando y que está trabajando en ello. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 Por ello, la AEPD considera necesario requerir a la parte reclamada para que en el plazo de seis meses acredite a esta Agencia la adopción de medidas que respeten el principio de minimización de datos establecido en el artículo 5.1
- c)del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, conforme a la legislación aplicable, la Directora de la Agencia Española de Protección de Datos, RESUELVE: PRIMERO: DIRIGIR UN APERCIBIMIENTO a ASOCIACIÓN INSERTA EMPLEO con NIF G85563302, por la infracción del artículo 5.1.
- c)del RGPD, tipificada en el artículo 83.5.
- a)del RGPD. SEGUNDO: ORDENAR a ASOCIACIÓN INSERTA EMPLEO con NIF G85563302 que en virtud del artículo 58.2.
- d)del RGPD, en el plazo de seis meses desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de las medidas que respeten el principio de minimización establecido en el artículo 5.1
- c)del RGPD. TERCERO: NOTIFICAR la presente resolución a ASOCIACIÓN INSERTA EMPLEO con NIF G85563302. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es