← España

PS-00088-2019

1/9  Procedimiento Nº: PS/00088/2019 938-300320 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la reclamante) con fecha 9/10/2018 interpuso reclamación ante la Agencia Española de Protección de Datos que se dirige contra la MANCOMUNIDAD GUADALQUIVIR (en adelante, la reclamada). Los motivos en que basa la reclamación son que es empleada de la Mancomunidad del Guadalquivir, desempeñando tareas de ***CARGO.1 en la organización, y manifiesta que: - “Jamás he comunicado a la organización mi número de teléfono personal (no corporativo), por ser este de titularidad y uso particular, y en absoluto necesario para el mantenimiento o el cumplimiento del contrato de trabajo.” -“Me encuentro en situación de baja laboral por IT desde el ***FECHA.1.” - “En este período de baja laboral he sufrido acoso telefónico en mi móvil personal por parte del ***CARGO.2 de la Mancomunidad con objeto de dictarme instrucciones de trabajo a ejecutar aún en mi situación de baja médica. El acoso se materializa los días 24,25, 26, y 27/09, y 2/10 con la reiteración de llamadas telefónicas a mi número personal, así como el envío de mensajes WhatsApp.” - “A fecha 01/10/18, y ante la inexistencia de DPD o responsable del tratamiento de los datos en la Entidad, notifico vía correo electrónico al ***CARGO.2 mi negativa a que la empresa utilice mi número de teléfono móvil personal.” -“Pese a dicha desautorización la empresa (a través de su ***CARGO.2) continúa haciendo uso de este dato (teléfono móvil personal) en los días sucesivos con el fin de hacerme llegar más instrucciones de trabajo.” Considera que no concurre ninguna base legitimadora del tratamiento” (remitirme instrucciones de trabajo durante mi baja médica con mi número de teléfono móvil personal”. Aporta: - Copia de hoja de intercambio de correo electrónico corporativos, enviado por la reclamante al ***CARGO.2 de la Mancomunidad el 1/10/2018, 21:29, asunto “nuevo usuario manguadalquivir.com” En el mismo le informa de los requisitos de mail que ha de cumplir una persona que va a ser autorizada . A ren- C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 glón seguido insiste en: “recordarle que estoy de baja por indicación médica y que el bombardeo permanente al que me veo sometida por distintas vías desde que me dieron de baja se ha visto intensificado…llegando incluso a conseguir por vías no autorizadas mi teléfono móvil personal para presionarme para que realice diferentes trabajos y pide el cese de las mismas. Copia de correo de 25/09/2018, enviado desde la dirección e mail de la reclamante a presidencia , asunto “nuevo usuario mangudalquivir.com” referido a la seguridad digital de la Mancomunidad, de los que ella declara es “responsable y administradora” “por habilitar un nuevo rol a otro usuario en nuestro administrador de contenidos web, siendo dicho usuario desconocido para mí, estoy abriendo la puerta a la vulnerabilidad de dicha página por lo que antes de hacerlo se han de reunir determinadas condiciones” “Al tratarse de una designación ajena a esta jefatura de área y por lo tanto desconociendo a dicho usuario, su relación laboral o contractual con la mancomunidad…no me haré responsable de los errores o infracciones que esta persona pueda cometer, puesto que la decisión y elección de esta ha sido llevada a cabo de forma exclusiva por la presidencia de la comunidad”. “Le adjunto ficha que deberán remitiré debidamente cumplimentada y firmada, a cuya recepción procederé al alta del nuevo usuario, así como a remitirle a este directamente y mediante canal seguro su contraseña de acceso”. - Impresión en papel de “llamadas a móvil personal”, con la hoja impresa de “llamadas al número móvil personal ***TELEFONO.1 desde el teléfono del ***CARGO.2 de la Mancomunidad Guadalquivir” ***TELEFONO.2 de 24, 25/09 (dos), y 2/10. En todas ellas figura “ha sonado” oscilando entre 43 y 46 segundos. -Impresión en papel de “mensajes WhatsApp al número móvil personal ***TELEFONO.1 desde teléfono del ***CARGO.2 de la Mancomunidad Guadalquivir”. Se trata de la línea ***TELEFONO.2, extractos de mensajes de texto del 24 y 26/09/2018. En el primero “A.A.A., soy B.B.B. el ***CARGO.2 de Manguadalquivir necesito hablar contigo urgente, llámame por favor” -Estoy en hospital. -Necesito publicar en la página. W y necesito las claves El 25/09: -Perdona que te moleste pero necesito publicar por favor mándame las claves. -Estoy en el hospital. Intentare contestar vía e mail a lo largo de la mañana 26/09/2018 -Buenos días, C.C.C. te va a enviar un correo con un anuncio para que lo publiques en la w. de la mancomunidad. Gracias. 27/09/2018 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 -Por favor publícame el anuncio que te ha hecho llegar C.C.C., es urgente te lo pido por favor. SEGUNDO: A la vista de los hechos manifestados en la reclamación el 28/11/2018 se trasladó a la reclamada para que informara: 1. Especificación clara de las causas que han motivado la incidencia que ha dado lugar a la reclamación. 2. Detalle de las medidas adoptadas por el responsable para solucionar la incidencia y para evitar que se produzcan nuevas incidencias como la expuesta. 3. Documentación acreditativa de que se ha atendido el derecho del reclamante a ser informado sobre el curso y el resultado de la presente reclamación. Se constata que el 11/12/2018 la reclamada recibe el escrito, sin que respondiera a los solicitado. Se emite acuerdo de admisión a trámite de la reclamación el 11/02/2019. TERCERO: Con fecha 19/09/2019, la directora de la AEPD acordó: “INICIAR PROCEDIMIENTO SANCIONADOR a la MANCOMUNIDAD DEL GUADALQUIVIR, con NIF P9104001D, por la presunta infracción del artículo 5.1.

  1. a)del RGPD, sancionable conforme a lo dispuesto en el art. 83.5 del citado RGPD.” En el certificado de entrega del acuerdo de inicio a la reclamada, figura uno de 13/10/ 2019 con el siguiente literal: El servicio de Soporte del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada CERTIFICA: - Que el Ministerio de Política Territorial y Función Pública (a través de la Secretaría General de Administración Digital) es, actualmente, el titular del Servicio de Notificaciones Electrónicas (SNE) y Dirección Electrónica Habilitada (DEH) de acuerdo con la Orden PRE/878/2010 y el Real Decreto 769/2017, de 28 de julio. El prestador de dicho servicio desde el 26 de junio de 2015 es la Fábrica Nacional de La Moneda y Timbre-Real Casa de la Moneda (FNMT-RCM), según Encomienda de Gestión en vigor del Ministerio de Hacienda y Administraciones Públicas. -Que a través de dicho servicio se envió la notificación: Referencia: 63878995d946bbbf0f6f Administración actuante: Agencia Española de Protección de Datos (AEPD) Titular: - P9104001D Asunto: "Notificación disponible en la Carpeta o DEH del titular indicado" con el siguiente resultado: Fecha de puesta a disposición: 02/10/2019 11:20:03 Fecha de rechazo automático: 13/10/2019 00:00:00 El rechazo automático se produce, de forma general, tras haber transcurrido diez días naturales desde su puesta a disposición para su acceso según el párrafo 2, artículo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 43, de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. Y de forma particular, superado el plazo establecido por la Administración actuante de acuerdo a la normativa jurídica específica que sea de aplicación.” No figuran alegaciones al acuerdo de inicio. CUARTO: Se emitió propuesta de resolución del literal “Que por la Directora de la Agencia Española de Protección de Datos se sancione con APERCIBIMIENTO a MANCOMUNIDAD GUADALQUIVIR, con NIF P9104001D, por una infracción del Artículo 5.1.
  2. a)del RGPD, conforme señala el artículo 83.5 del RGPD. “ Frente a dicha propuesta al no ser abierta en su envío telemático, considerándose notificada, se envió excepcionalmente por correo ordinario, consiguiéndose su entrega el 16/06/2020, sin que se recibieran alegaciones. HECHOS PROBADOS 1) Según información que consta en Internet, la Mancomunidad del Guadalquivir es una entidad de gestión pública de residuos urbanos servicios integrales de recogida transporte y eliminación de residuos y servicios de limpieza de las vías públicas que agrupa diferentes municipios de la provincia de Sevilla. Constituida por acuerdo adoptado por el Consejo de Gobierno de la Junta de Andalucía, de 9/03/1983, publicado en el Boletín Oficial de la Junta de Andalucía núm. 24, de 22/03, de aquel ejercicio. les reconoce la legislación española de Régimen local, y en particular la Ley 5/2010, de 11/06, de Autonomía Local de Andalucía reconoce la constitución en Mancomunidad de carácter voluntario para la prestación conjunta de servicios que se señalan en artículo 6 de los Estatutos, indicando su artículo 28 que “El personal que fuere necesario para el desarrollo de las actividades de la Mancomunidad será funcionario, de carrera o interinos, y contratados en régimen laboral. 2) La reclamante, empleada de la Mancomunidad Guadalquivir, y ***CARGO.1, reclama con fecha 9/10/2018 contra la entidad para la que presta servicios, porque no ha proporcionado el dato de su línea de teléfono móvil de uso particular, ***TELEFONO.1, que manifiesta además que no es necesaria para el mantenimiento o el cumplimiento del contrato de trabajo, y ha sido utilizada, incluso a pesar de manifestarlo una vez y de estar de baja médica desde ***FECHA.1, según copia de la misma. 3) Acredita dicho uso, aportando:
  3. a)copia de hoja de intercambio de correo electrónico corporativo, enviado por la reclamante al ***CARGO.2 de la Mancomunidad el 1/10/2018, 21:29, asunto “nuevo usuario manguadalquivir.com” indicando los requisitos de mail que ha de cumplir una persona que va a ser autorizada. A renglón seguido le indica: “recordarle que estoy de baja por indicación médica y que el bombardeo permanente al que me veo sometida por distintas vías desde que me dieron de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 baja se ha visto intensificado…llegando incluso a conseguir por vías no autorizadas mi teléfono móvil personal para presionarme para que realice diferentes trabajos” y pide el cese de las mismas.
  4. b)copia de Impresión en papel de “llamadas a móvil personal”, teléfono ***TELEFONO.1, desde el teléfono del ***CARGO.2 de la Mancomunidad Guadalquivir” ***TELEFONO.2 de 24, 25/09 (dos), y 2/10. En todas ellas figura “ha sonado” oscilando entre 43 y 46 segundos.
  5. c)copia Impresa en papel de “mensajes WhatsApp” al número móvil personal de la reclamante ***TELEFONO.1, desde el teléfono del ***CARGO.2 de la Mancomunidad Guadalquivir, línea ***TELEFONO.2, extractos de mensajes de texto del 24 y 26/09/2018. En el primero “A.A.A., soy B.B.B. el ***CARGO.2 de Manguadalquivir necesito hablar contigo urgente, llámame por favor” -Estoy en hospital. -Necesito publicar en la página. W y necesito la claves El 25/09: -Perdona que te moleste pero necesito publicar por favor mándame las claves. -Estoy en el hospital. Intentare contestar vía e mail a lo largo de la mañana 26/09/2018 -Buenos días, C.C.C. te va a enviar un correo con un anuncio para que lo publiques en la w. de la mancomunidad. Gracias. 27/09/2018 -Por favor publícame el anuncio que te ha hecho llegar C.C.C., es urgente te lo pido por favor -También figura copia impresa de llamada entrante a la línea de la reclamante, desde la línea ***TELEFONO.2 en dos ocasiones el 2/10/2018. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 II El RGPD define en su artículo 4: «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” El derecho a la intimidad es aplicable al ámbito de las relaciones laborales, como puso de manifiesto la STC 98/2000, de 10 de abril (FFJJ 6 a 9). El número de teléfono móvil de uso particular por el cual la reclamante es identificada y contactada, por ser su titular, debería, antes de haber sido usado, haber sido obtenido de modo legitimo para una finalidad concreta, legitima e idónea por parte de la reclamada, y debería haber sido informada la reclamante de su uso, finalidad y ejercicio de derechos de dicho tratamiento. Previamente se debería haber analizado la necesidad del tratamiento de las líneas móviles particulares de los empleados en relación con la ejecución del trabajo que desempeña la reclamante en el seno de la entidad, si bien en este caso, la reclamante se encontraba además de baja médica conocida por el responsable de la entidad. Al no haber acreditado la reclamada que dispone de alguna base legítima para su recogida y uso se considera que la reclamada infringió el artículo 5.1.
  6. a)del RGPD que indica: 1. Los datos personales serán:
  7. a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»); Las bases legitimadoras para el tratamiento se contienen en el artículo 6 del RGPD, y en este caso no concurre ninguna de ellas como origen del tratamiento del dato de la línea móvil de la reclamante, que el ***CARGO.2 de la Mancomunidad utiliza para efectuar llamadas relacionadas con el trabajo, haciendo uso de una línea particular de la reclamante. III El artículo 83.5
  8. a)del RGPD, considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, con multas administrativas de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía.” El artículo 83.7 del RGPD indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro” El artículo 58.2 del RGPD indica: ”Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
  9. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;
  10. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado”. El ordenamiento jurídico español ha optado por no sancionar con multa a las entidades públicas, tal como se indica en el artículo 77.1.
  11. c)y 2. 4. 5. y 6. de la LOPDDGG: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
  12. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción.” No se impone medida de actuación relacionada con la infracción salvo la que claramente se desprende de no seguir en el uso de la línea móvil de la reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 En cuanto a la prescripción, el artículo 72.1.
  13. a)de la LOPGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  14. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679.” Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a MANCOMUNIDAD GUADALQUIVIR, con NIF P9104001D, por una infracción del Artículo 5.1.
  15. a)del RGPD, de acuerdo con el artículo 83.5 del RGPD, una sanción de apercibimiento, según establece el artículo 58.2.
  16. d)del RGPD. SEGUNDO: NOTIFICAR GUADALQUIVIR. la presente resolución a MANCOMUNIDAD TERCERO: COMUNICAR la presente resolución al DEFENSOR DEL PUEBLO, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. CUARTO: De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  17. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.