PS-00068-2024

1/16 Expediente Nº: EXP202401784 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 8 de mayo de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a B.B.B. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202401784 Procedimiento Sancionador Nº: PS/0068/2024 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 13 de mayo de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra B.B.B., con NIF ***NIF.1, presidente del Comité de Empresa de la empresa DIMAGAZA, S.L. con NIF B88439856 (en adelante, la parte reclamada/el reclamado). En el escrito recibido la parte reclamante manifiesta, resumidamente: - - Que en el momento en que éste prestaba servicios como trabajador en la empresa DIMAGAZA, se llevó a cabo un procedimiento de despido colectivo, del que éste fue afectado. Dentro del citado procedimiento, con fecha de 26 de enero de 2023 se celebró una reunión entre los representantes de los trabajadores y el comité de empresa, cuya acta de declaración final del periodo de consultas del procedimiento fue publicada en el tablón de anuncios que la citada empresa tiene en una nave abierta al tránsito de personas ajenas a la misma, sin ninguna medida de seguridad. Que en dicha acta, se adjuntaba la relación de trabajadores afectados por el despido colectivo, entre los que se halla el reclamante, en la que aparecen expuestos sus datos personales, tales como su nombre y apellidos, DNI, fecha de nacimiento, número de afiliación a la Seguridad Social, antigüedad en la empresa, etcétera. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 - Tras requerir verbalmente y por correo electrónico copia de la referida acta al presidente del comité de empresa, éste le indicó el 4 de febrero de 2023 que la misma había sido publicada en el tablón de anuncios de la empresa, siendo entonces cuando comprobó que se habían colgado en el citado tablón de anuncio las listas anexas al acta, con los datos personales de los trabajadores afectados por el despedido, en las condiciones que pueden observarse en las fotografías aportadas junto con la reclamación. Junto a la reclamación se aporta: - - - Copia del acta de la reunión de 26 de enero de 2023, cuyo apartado cuarto menciona 3 datos personales de 4 trabajadores comprendidos en un convenio con la seguridad social, y cuyo Anexo consta de una lista en la que aparecen 9 datos personales de 43 trabajadores, a los que había afectado el despido colectivo. Fotografías del tablón de anuncios donde se hallan publicados por separado el acta, y las dos páginas de las que consta el anexo con la lista de trabajadores afectados por el despido. Se aprecia que no existe anonimización de los datos personales que aparecen en el anexo. No se puede apreciar si los datos personales que aparecen en el apartado 4 del cuerpo del acta han sido anonimizados. Diversos correos electrónicos intercambiados el 3 y 4 de febrero de 2023 entre el reclamante y el presidente del comité de empresa, en el que éste último le indica que el acta se encontraba expuesta en el citado tablón de anuncios. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación al comité de empresa de DIMAGAZA, para que éste procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha de 28 de junio de 2023, como consta en el acuse de recibo que obra en el expediente. No obstante, DIMAGAZA no contestó a tal requerimiento. TERCERO: Con fecha 13 de agosto de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha de 10 de enero de 2024, esta Agencia tiene conocimiento de la existencia de un correo electrónico de 6 de febrero de 2023, aportado en el procedimiento sancionador tramitado con el número PS/00447/2023, que tiene origen en la reclamación a la que se refiere el presente procedimiento. Se trata de un correo electrónico remitido por el Presidente del Comité de Empresa frente al que se dirige la reclamación, D. C.C.C., a D. D.D.D. (que consta como Director de las Oficinas de DIMAGAZA, sucursal de Arrecife, de acuerdo con los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 poderes notariales que se adjuntan al escrito de alegaciones). En dicho correo electrónico de 6 de febrero de 2023, el Sr. B.B.B. reconoce haber sido el que situó materialmente en el tablón de anuncios el acta junto con su anexo, sin anonimizar los datos personales que contenían, indicando literalmente lo siguiente: “Buenas tardes A.A.A., Esta misma tarde fui a la nave a comprobar la documentación que se puso en el tablón de anuncios. Y efectivamente esta el acuerdo firmado, el acta de la asamblea de trabajadores que ratificaba el acuerdo y la relación de trabajadores en la que están nombre, nif, antigüedad en la empresa y numero de s.s. Supongo que a eso se refiere esta señora. Y bien que lo siento porque estaban todos los documentos grapados y no cai en ese momento. En cualquier caso los he retirado. Tambien he mandado copia de la carta y una carta explicativa de las circunstancias de estos dos trabajadores a nuestra asesora legal del sindicato para su conocimiento. No puedo hacer mucho más. También le he dicho que no vamos a contestar nada. Un saludo. B.B.B. FUNDAMENTOS DE DERECHO I Competencia y procedimiento De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas La publicación del acta sobre proceso de despido colectivo al que se refiere el presente procedimiento, que fue realizada por el reclamado en el tablón de anuncios del comité de empresa se considera una operación de tratamiento de datos personales, que se somete al régimen previsto en el RGPD, así como a sus disposiciones de desarrollo, de acuerdo con lo previsto en el artículo 4. 1, 2, y 7 el RGPD, que dispone lo siguiente: “Artículo 4 Definiciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 A efectos del presente Reglamento se entenderá por: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;(…) 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros (…)” En el presente supuesto, consta acreditado que con fecha de 4 de febrero de 2023 quedaron expuestos en el tablón de anuncios del comité de empresa 9 datos personales de 43 trabajadores de la empresa DIMAGAZA que constaban en el acta de 26 de enero de 2023, por la que se acuerda la finalización del periodo de consultas que pone fin al proceso de despido colectivo que se había iniciado en la empresa. Acuerdo que se adopta entre lo que se denomina la PE (parte empresarial representada por un miembro de la misma), y la CR (Comisión representativa de los trabajadores de la empresa, formada por 4 representantes de los trabajadores, uno de los cuales era el reclamado, B.B.B. (que a su vez, es el Presidente del Comité de Empresa). En concreto, de acuerdo con lo establecido en el artículo 4.1 del RGPD se divulgaron los siguientes datos personales de los trabajadores afectados por el proceso de despido colectivo (datos personales que aparecían visibles, sin anonimizar): - En el apartado 4 del cuerpo del acta, se relacionaban los siguientes datos personales de 4 trabajadores despedidos de la empresa que iban a tener un convenio con la seguridad social: el nombre y apellidos, DNI, puesto y fecha de nacimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 - Y en el anexo adjunto al acta, se relacionaban 9 datos personales de 43 trabajadores afectados por el despido (entre los que se encontraban los 4 mencionados en el apartado 4 del acta): el nombre y apellidos, DNI, nº afiliación a la seguridad social, puesto de trabajo, grupo profesional, fecha de nacimiento, fecha antigüedad, centro de trabajo, y CCC (Código de cuenta de cotización). La publicación del acta realizada el 4 de febrero de 2023 (cuerpo y anexo) en el tablón de anuncios del comité de empresa, haciéndola accesible y visible a todos los empleados y personas que pudieran acceder al lugar donde se hallaba expuesto tiene el carácter de operación de tratamiento de datos personales, en el sentido expresado en el artículo 4.2 del RGPD, puesto que supuso una divulgación o comunicación de los datos personales de los 43 trabajadores que aparecían en la misma a todas aquellas personas que tenían acceso al citado tablón del comité de empresa. De acuerdo con lo previsto en el artículo 4.7 del RGPD se ha de señalar que el responsable del tratamiento es la persona u órgano que decide sobre los fines y medios de la operación de tratamiento de que se trate (que en este caso es publicar el acta en el tablón de anuncios). De acuerdo con lo previsto en la Guía “La protección de datos en las relaciones laborales” publicada por la AEPD en mayo de 2021, se considera responsable del tratamiento de la operación de divulgación de datos personales en los tablones de anuncios de las empresas a “quien sitúa materialmente la información en el tablón de anuncios.” Concurren evidencias consistentes de que el responsable de dicha operación de tratamiento consistente en publicar el acta en el tablón de anuncios del Comité de empresa fue el presidente del Comité de Empresa, frente al que se dirige el presente procedimiento, toda vez que: - Consta acreditado y reconocido que el reclamado ostentaba la triple condición de firmante del acta, presidente del comité de empresa, y miembro del comité de seguimiento previsto en el acta para responder a las incidencias derivadas del proceso de despido colectivo, por lo que disponía de una copia del acta y su anexo, teniendo acceso a los datos personales que ésta contenía y al tablón de anuncios del comité de empresa. - Y, además, fue el reclamado quien contestó a la solicitud de información realizada por el reclamante el 4 de febrero de 2023, informándole de que: “hay una copia completa de dicha acta en el tablón de anuncios de personal de la empresa en Puerto Naos a disposición para su consulta de todos los trabajadores”. Respuesta que se remitió el mismo día de publicación del acta y lista, e implicaba el reclamado conocía que esta publicación se había realizado para difusión general, asumiendo implícitamente su conformidad con esta difusión. - Dichos indicios racionales de que el reclamado había sido el que situó materialmente el acta y su anexo en el tablón de anuncios quedan confirmados C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 cuando se tiene conocimiento del correo electrónico de 6 de febrero de 2023, que se une al presente procedimiento. Correo que el reclamado remitió al Director de las oficinas de DIMAGAZA, en el que reconoce implícitamente haber colgado en el tablón de anuncios del comité de empresa tal acta y anexo “por error”, y haberlo retirado, manifestando literalmente, al responder al director de la empresa respecto a la publicación del anexo, lo siguiente: “Y bien que lo siento porque estaban todos los documentos grapados y no caí en ese momento. En cualquier caso, los he retirado”. En consecuencia, el reclamado es el presunto responsable al que debe dirigirse el presente procedimiento sancionador por la divulgación no autorizada de datos personales que supuso la publicación del acta citada en el tablón de anuncios del comité de empresa, de acuerdo con lo previsto en el artículo 70. 1

1. a)de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de derechos digitales (en adelante, LOPPDD): “Artículo 70. Sujetos responsables. 1. Están sujetos al régimen sancionador establecido en el Reglamento (UE) 2016/679 y en la presente ley orgánica:
2. a)Los responsables de los tratamientos.
3. b)Los encargados de los tratamientos.
4. c)Los representantes de los responsables o encargados de los tratamientos no establecidos en el territorio de la Unión Europea.
5. d)Las entidades de certificación.
6. e)Las entidades acreditadas de supervisión de los códigos de conducta. (…)”. III Artículo 5.1.
7. f)del RGPD El artículo 5.1.
8. f)“Principios relativos al tratamiento” del RGPD establece que el responsable del tratamiento de datos personales deberá proteger la integridad y confidencialidad de los datos personales que sean objeto de tratamiento, en los siguientes términos: “1. Los datos personales serán: (…)
9. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas.” En concreto, el art. 5 de la LOPDGDD desarrolla este deber de confidencialidad, indicado lo siguiente: “1. Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
10. f)del Reglamento (UE) 2016/679. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 2. La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable. 3. Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento.” De acuerdo con lo dispuesto en la Guía sobre la protección de datos en las relaciones laborales” de la AEPD de mayo de 2021: “Ambos deberes (confidencialidad y secreto profesional) resultan necesarios y constituyen una garantía para el derecho fundamental a la protección de datos. El secreto y la confidencialidad aseguran que los datos personales sólo sean conocidos por el afectado y por aquellos usuarios de la organización cuyo perfil les atribuye competencia para usar, consultar, modificar o incluir los datos en los sistemas de información.” El denominado principio de la integridad y confidencialidad de los datos personales se vulnera cuando se produce lo que el artículo 4 apartado 12 del RGPD define, de un modo amplio, como “violaciones de seguridad de los datos personales” (en adelante brecha de datos personales). Estas se definen como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta acreditado que se produjo una brecha de datos personales en las circunstancias arriba indicadas, categorizada como una brecha de confidencialidad; como consecuencia de haber hecho públicos 9 datos personales de 43 trabajadores de la empresa que habían sido afectados por el proceso de despido colectivo iniciado en la misma, al publicar el reclamado en el tablón de anuncios del comité de empresa el acta y su anexo, dejando expuestos los datos personales que éstos contenían, tal y como este reconoce el correo electrónico que le remitió al director de la empresa el 6 de febrero de 2023. Que el deber de información a los trabajadores es esencial en el ámbito laboral es un hecho incuestionable, pero como cualquier otro derecho, no es absoluto o ilimitado, sino que debe ejercerse siempre dentro de los límites previstos por el legislador, entre los que está la protección de los datos personales, de acuerdo con lo previsto en el artículo 18 de nuestra Constitución. La protección de ambos derechos (información y protección de datos personales) es compatible. Únicamente se requiere que los miembros que conforman estos órganos actúen con la debida diligencia que les compete por razón de su cargo y como responsables del tratamiento de datos personales, lo que requiere que estén debidamente formados acerca de cómo debe hacerse el tratamiento sin vulnerar la normativa especial de protección de datos vigente. De acuerdo con lo previsto en la mencionada Guía de protección de datos personales en las relaciones laborales, el acceso de los datos personales que conocen los miembros del Comité de Empresa (como representantes de los trabajadores) les permite realizar ciertas operaciones de tratamiento que deben estar regidas por el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 cumplimiento de los principios de protección de datos personales, lo que implica el cumplimiento de ciertos límites: o o “Únicamente podrán comunicarse datos cuando resulte estrictamente necesario para el cumplimiento de los deberes que el ET establece para la empresa. En todos aquellos casos en los que la información pueda presentarse de modo estadístico o anonimizado permitiendo al comité cumplir con sus funciones se optará por este método. No se justifica que los representantes conozcan el domicilio particular de las personas trabajadoras, por ejemplo, para enviar propaganda electoral. En cambio, sí estaría justificado acceder a la lista de miembros de una bolsa de empleo (STS 5761/2015, de 21 de diciembre, Sala de lo Social). Los destinatarios de la información serán los previstos por la norma que habilite la comunicación de datos(…)” Estos límites se hacen extensivos a las publicaciones realizadas en los tablones de anuncios de la empresa, según lo que indica la mencionada Guía expresamente: “La publicación de notas informativas, anuncios, convocatorias, declaraciones e incluso sentencias en este tipo de tablones constituye una práctica habitual. La evolución tecnológica ha dado lugar a tablones online. Cuando esas notas, anuncios o documentos contienen datos personales, la simple publicación constituye un tratamiento que puede comportar el acceso a datos por terceros carentes de legitimación. Ello obliga a tener en cuenta una serie de aspectos con el fin de aplicar adecuadamente las normas y garantizar los derechos de las personas concernidas: ◤ Será responsable del tratamiento quien sitúa materialmente la información en el tablón de anuncios. ◤ Sólo los usuarios legitimados deben tener acceso al tablón de anuncios.(…). ◤ Debe tenerse muy en cuenta el principio de minimización desde el punto de vista de la proporcionalidad de los tratamientos y de su finalidad. Ejemplo. La información publicada debería limitarse a la estrictamente necesaria. Como regla general, no es lícita la publicación íntegra de una determinada resolución administrativa o una sentencia judicial, sino que debe procederse a la anonimización de los datos personales no necesarios para el fin pretendido(…)”. En este supuesto, no cabe duda de que la publicación del acta junto con su anexo en el tablón de anuncios del comité de empresa por su presidente conculcó estos límites, vulnerando la normativa de protección de datos personales, puesto que: - No existe una norma legal que habilite a publicar el contenido íntegro de las actas que se dicten dentro de un periodo de consultas celebrado con ocasión de un despido colectivo por razones técnicas, como el presente. Cabe señalar que el acta a la que se refiere el presente procedimiento no supone por sí sola la extinción de los contratos laborales, sino que acuerda extinguir los mismos, señalando el número de trabajadores afectados, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16 identificándolos con 9 datos personales, y fijando en su cláusula segunda que las extinciones se irán realizando de forma escalonada. En nuestro Derecho Laboral, el despido, en sus diversas modalidades, se comunica por escrito y forma individual al trabajador despedido, que es el interesado, y destinatario de este deber de comunicación. Y el despido colectivo no es una excepción, puesto que el artículo 51.4 del Estatuto de los Trabajadores se refiere a que el despido deberá ser notificado individualmente a cada trabajador afectado, indicando lo siguiente: “4. Alcanzado el acuerdo o comunicada la decisión a los representantes de los trabajadores, el empresario podrá notificar los despidos individualmente a los trabajadores afectados, lo que deberá realizar conforme a lo establecido en el artículo 53.1. En todo caso, deberán haber transcurrido como mínimo treinta días entre la fecha de la comunicación de la apertura del periodo de consultas a la autoridad laboral y la fecha de efectos del despido”. Ello se confirma por el artículo 14 del Real Decreto 1483/2012, de 29 de octubre, por el que se aprueba el Reglamento de los procedimientos de despido colectivo, que indica que esta notificación tendrá la forma de una comunicación escrita notificada individualmente al trabajador según el artículo 53 del ET, y corresponderá, además, a la propia empresa, y no al Comité de Empresa. En conclusión, de la normativa laboral expuesta se deduce que el interés legítimo a conocer el despido es del trabajador despedido, y se cumple con la notificación individual al mismo, que se realizará por la empresa, posteriormente al acta de finalización del periodo de consultas que acuerda la extinción de los contratos. De haberse considerado que todos los trabajadores disponen de un interés legítimo en conocer lo que ha sido acordado durante la fase de consultas del proceso de despido colectivo, incluyendo la identidad de los trabajadores que se han visto afectados por el despido, se hubiera previsto la posibilidad u obligación de publicar o dar a conocer de forma general el resultado del acta final del periodo de consultas en la normativa reguladora de los procesos de despido colectivo, y no es así. - Por otra parte, si es cierto que los representantes de los trabajadores ostentan la facultad de publicar en el tablón de anuncios que la empresa pone a su disposición “los asuntos que sean de interés de los trabajadores”, de acuerdo con los artículos 81 y 68.
11. d)del Estatuto de los Trabajadores. Pero esta facultad no puede operar como una cláusula abierta ilimitada que permita publicar o revelar datos personales que afecten a todos los trabajadores, indiscriminadamente, sino que debe ejercerse con el debido respeto a la normativa de protección de datos personales. Esto es, en caso de que el presidente del Comité de Empresa hubiere considerado que la publicación del acta por el que se acuerda finalizar el periodo de consultas del proceso de despido colectivo debía ser conocida por todos los trabajadores, por ser un asunto de interés general, podría haberlo hecho protegiendo los datos personales de los trabajadores afectados por el despido, anonimizando los mismos previamente a su publicación. Toda vez que no hay que olvidar que, además de ser representante de los trabajadores, el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/16 reclamado era también responsable del tratamiento de los datos personales que constaban en el acta que decidió divulgar para conocimiento general, por lo que debió actuar conforme a lo previsto en la normativa de protección de datos personales. Sin embargo, tal y como el mismo reconoce en el citado correo electrónico de 6 de febrero de 2023, no obró con la diligencia exigible a un responsable del tratamiento de los datos personales que obraban en su poder, al disponer de una copia de dicha acta, y omitió su deber de confidencialidad respecto de los datos personales que aparecían en el cuerpo del acta (que debieron ser anonimizados), y en el anexo (que no debió ser grapado en el tablón). Ello implicó una vulneración del principio de la integridad y confidencialidad contenido en el artículo 5.1.
12. f)del RGPD, puesto que el reclamado tenía derecho a conocer los datos personales contenidos en el acta del proceso de despido colectivo, y el deber de informar a los trabajadores de los asuntos de su interés, pero ello no le habilitaba a divulgar todos los datos personales que contenía el acta de finalización del proceso de despido colectivo sin ningún tipo de limitación, y sin anonimizar. En consecuencia, de conformidad con las evidencias de las que se dispone en el presente momento, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos expuestos podrían vulnerar lo establecido en el artículo 5.1.
13. f)del RGPD, por haber divulgado ilícitamente los datos personales de los 43 trabajadores que aparecían en el acta de finalización del periodo de consultas del despido colectivo que fue publicada en el tablón de anuncios del comité de empresa por el reclamado. IV Tipificación y calificación de la infracción del artículo 5.1.
14. f)del RGPD De conformidad con las evidencias de las que se dispone en este acuerdo de iniciación del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable al reclamado, por vulneración del principio de la integridad y confidencialidad previsto en el artículo 5.1.
15. f)del RGPD. En concreto, de confirmarse la realidad de los hechos denunciados, la citada infracción del artículo 5.1.
16. f)del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone (el subrayado es nuestro): “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
17. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/16 A efectos del plazo de prescripción de las infracciones, cabe aplicar el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD, que indica (el subrayado es nuestro): “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
18. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” VI Sanción por la infracción del artículo 5.1.
19. f)del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
20. a)a
21. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
22. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
23. b)la intencionalidad o negligencia en la infracción;
24. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
25. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
26. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
27. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
28. g)las categorías de los datos de carácter personal afectados por la infracción;
29. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/16
30. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
31. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42.
32. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: “De acuerdo a lo previsto en el artículo 83.2.
33. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
34. a)El carácter continuado de la infracción.
35. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
36. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
37. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
38. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
39. f)La afectación a los derechos de los menores.
40. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
41. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” A la vista de los hechos enjuiciados, el balance de las circunstancias contempladas en el artículo 83.2. del RGPD y en el artículo 76 de la LOGDPDD, permite fijar inicialmente la sanción de multa de 1.000 € (MIL EUROS) con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
42. f)del RGPD. V Adopción de medidas correctivas De confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
43. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/16 Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a B.B.B., con NIF ***NIF.1, por la presunta infracción del artículo 5.1.
44. f)del RGPD, tipificada en el artículo 83.5 del RGPD. SEGUNDO: NOMBRAR como instructora a C.C.C. y, como secretaria, a D.D.D. indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, los documentos obtenidos y generados en las actuaciones previas al inicio del presente procedimiento sancionador PS/00068/2023, así como el documento 1 aportado mediante escrito de 10 de enero de 2024 dentro del procedimiento sancionador PS/00447/2023 (correo electrónico de 6 de febrero de 2023 remitido por el reclamado al director de la empresa DIMAGAZA), por constituir evidencias probatorias de los hechos cuya infracción se imputa en el presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
45. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de 1.000 € (MIL EUROS) sin perjuicio de lo que resulte de la instrucción. QUINTO: NOTIFICAR el presente acuerdo a B.B.B., con NIF ***NIF.1, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de expediente que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
46. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 800 euros, resolviéndose el procedimiento con la imposición de esta sanción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/16 Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 800 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en [Introduzca el texto correspondiente a 600 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (800 euros o 600- euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00 0000 0000 0000 0000 0000 (BIC/Código SWIFT: XXXXXXXXXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 935-18032024 Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 16 de mayo de 2024, la parte reclamada ha procedido al pago de la sanción en la cuantía de 600 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/16 la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/16 reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202401784, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a B.B.B.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
47. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 936-040822 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es