← España

PS-00140-2017

1/18 Procedimiento Nº: PS/00140/2017 RESOLUCIÓN R/02635/2017 DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO En el procedimiento sancionador PS/00140/2017, tramitado por la Agencia Española de Protección de Datos a la FEDERACIÓN DE SERVICIOS PÚBLICOS DE LA UNION GENERAL DE TRABAJADORES (FSP-UGT), y en base a los siguientes, ANTECEDENTES PRIMERO: Instruido el procedimiento sancionador nº PS/00140/2017, con fecha 11 de septiembre de 2017 se formuló la siguiente propuesta de resolución: “Mediante Acuerdo de fecha 3 de mayo de 2017 se inició procedimiento sancionador nº PS/00140/2017 instruido por la Agencia Española de Protección de Datos a la Federación de Servicios Públicos de la Unión General de trabajadores (FSP-UGT) por presuntas infracciones a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y en base a los siguientes ANTECEDENTES PRIMERO: Con fechas 2 de febrero y 10 de marzo de 2017, tuvieron entrada en esta Agencia sendos escritos formulados por Don C.C.C., (en lo sucesivo el denunciante), poniendo de manifiesto que la Federación de Empleados y Empleadas de los Servicios Públicos de UGT-Madrid continuaba enviándole comunicaciones no deseadas con información sindical a su dirección de correo electrónico corporativa del Servicio (.....), dependiente de la Consejería de Sanidad de la Comunidad de Madrid, a pesar de que con fechas 14 y 24 de noviembre de 2016 había solicitado a dicha organización el cese de dichos envíos a su cuenta de correo corporativa. El denunciante señala que dichos envíos se remitían desde a su dirección de correo electrónico corporativa A.A.A.. la cuenta B.B.B. A los efectos de acreditar los hechos denunciados, junto a la denuncia, afectado aporta la siguiente documentación: el - Copia del correo electrónico remitido por el denunciante, con fecha 14 de noviembre de 2016, en contestación a uno recibido de UGT-Atención Primaria de esa misma fecha, en el que comunicaba su deseo de no recibir más comunicaciones procedentes de esa organización por no resultar de su interés y no corresponder al uso profesional de su dirección de correo electrónico corporativo, ya que pertenecía a otra gerencia y a otro ámbito de trabajo. En la solicitud de “Baja Correo Electrónico”, el denunciante se identificaba firmando con su nombre, apellidos y DNI. - Copia del correo electrónico recibido por el denunciante el 15 de noviembre de 2016 en respuesta a su solicitud de baja, procedente de UGT-Atención Primaria, con el texto “Procederemos a hacerlo. Gracias.” - Copia del correo electrónico recibido por el denunciante el 15 de noviembre de 2016 en respuesta a su solicitud de baja, procedente de UGT-Atención C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/18 Primaria, con el texto: “Estimado C.C.C., no encuentro tu email en nuestros contactos, si eres tan amable, para no recibir nuestras comunicaciones, pon esta dirección en “correo no deseado”. Si aun así sigues recibiendo mensajes háznoslo saber. Un saludo.” - Copia del correo electrónico remitido, con fecha 22 de noviembre de 2016, por UGT Atención Primaria a la cuenta de correo electrónico del denunciante, con asunto “ Movilidad e incentivos en atención Primaria !!!!!”. - Copia del correo electrónico remitido por el denunciante, con fecha 24 de noviembre de 2016, a UGT-Atención Primaria reiterando su solicitud de “Baja correo electrónico” a fin de no recibir en su cuenta de correo electrónico corporativo nuevas comunicaciones de esa organización. - Copia del correo electrónico recibido por el denunciante el 28 de noviembre de 2016 en respuesta a la segunda solicitud de baja, procedente de UGTAtención Primaria, con el texto: “Sentimos las molestias que le estamos ocasionando y le pedimos disculpa. Le agradeceríamos que pusiera este correo en “correo no deseado”, ya que por motivos que desconocemos no se consigue llegar a su dirección para sacarlo de los listados. Si aun así siguiera recibiendo nuestra información, por favor, háznoslo saber. Un saludo.” - Copia de los siguientes correos electrónicos, enviados por UGT-Atención Primaria con información sindical a la cuenta de correo electrónico del denunciante con fechas: o 20 diciembre 2016, con asunto: “Riesgo Psicosocial”, o 19 de enero de 2017, con asunto: ”Encuesta riesgo psicosocial”, o 25 de enero de 2017, o 25 de enero de 2017, atención primaria” o 27 de enero de 2017, con asunto “Encuesta Riesgo psicosocial” o 3 de febrero de 2017, con asunto “Reactivación de carrera profesional” o 11 de febrero de 2017, con asunto “Movilidad interna” o 15 de febrero de 2017, con asunto “Comisión de seguimiento del acuerdo de movilidad interna AP” o 19 de febrero de 2017, con asunto “Último plazo para la recepción de encuestas sobre riesgo psicosocial” con asunto: “Movilidad atención primaria” con asunto: “Firmado acuerdo movilidad de SEGUNDO: A la vista de las evidencias aportadas por el denunciante, se consideró que existían elementos de juicio suficientes de los que se desprendía que el tratamiento por parte de la Federación de Servicios Públicos de la Unión General de Trabajadores (FSP-UGT), (en adelante, la denunciada o FeSP-UGT ), del dato del correo electrónico corporativo del denunciante para remitirle, entre el 20 de diciembre de 2016 y el 19 de febrero de 2017, nueve comunicaciones con información sindical se efectuó sin contar con el consentimiento inequívoco del afectado para ello, ya que, sin perjuicio de lo pudiera resultar de la instrucción, dichos envíos se realizaron por la denunciada después de haber recibido, y contestado, dos solicitudes del denunciante, de fechas 14 y 24 de noviembre de 2016, ejerciendo su derecho de cancelación de datos para no recibir en la mencionada cuenta de correo electrónico C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/18 corporativa comunicaciones procedentes de dicha organización. TERCERO: Con fecha 3 de mayo de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la Federación de Servicios Públicos de la Unión General de Trabajadores (FSP-UGT), por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, ( en lo sucesivo LOPD), en relación con el artículo 16.1 de la misma norma, tipificada como grave en el artículo 44.3.b) de dicha norma, pudiendo ser sancionada con multa de 40.001 euros a 300.000 euros, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la FeSP-UGT presentó con fecha 19 de mayo de 2017 escrito de alegaciones solicitando el archivo del procedimiento con fundamento en los argumentos que a continuación se resumen: -Que la Gerencia de Atención Primaria proporcionó a esa Federación las listas de distribución de carácter público con los correos electrónicos corporativos de los trabajadores para facilitar la actividad sindical de la organización, en este caso la remisión de información sindical de interés. Estas listas se actualizan y gestionan por la propia Gerencia. - El tratamiento de los datos de los trabajadores por parte de FeSP-UGT se realiza conforme a lo previsto en la LOPD, especialmente en lo relativo al cumplimiento de los derechos de acceso, rectificación, cancelación y oposición (derechos ARCO). Entre las políticas seguidas, se realizan auditorías bienales y se imparten sesiones de formación y concienciación en materia de protección de datos. Además, la remisión de la información sindical se realiza desde la dirección de correo electrónico B.B.B. asignada por la Gerencia de Atención Primaria, que también facilita las bases de datos oficiales con los contactos actualizados.- Respecto a la presunta infracción del deber de solicitud de consentimiento, FeSP-UGT aduce que conforme a la interpretación efectuada por el Tribunal Constitucional en su Sentencia 281/2015, la obligación del consentimiento se excluye cuando concurre lo dispuesto en el artículo 11.2 de la LOPD en su relación con lo previsto en el artículo 8 de la Ley 11/1985, de 2 de agosto, Ley Orgánica de Libertad Sindical (en lo sucesivo, LOLS) y el artículo 28 de la Constitución Española (CE). El citado Tribunal viene a señalar que el desarrollo legislativo del artículo 21.1 de la LOLS no agota las posibilidades de los sindicatos para difundir información sindical, y por ello, en el contexto de la sociedad de la información, alcanzará a la disposición de correos electrónicos en aquellas empresas que dispongan de ellos. Este criterio fue aplicado en la resolución R/01136/2017, de 25/04/2017, de la AEPD dirigida a la UGT. - En cuanto a la presunta infracción de no atender el derecho de cancelación: Desde el 15/11/2016, fecha de inicio de los envíos, la FeSP-UGT viene atendiendo las solicitudes de los trabajadores mostrando su negativa a recibir comunicaciones con información sindical en cumplimiento de lo dispuesto en la normativa de protección de datos. Aunque el proceso de bloqueo de las cuentas de correo electrónico que dichas solicitudes requieren ”es muy laborioso, ya que consiste en buscar manualmente la dirección de correo del afectado entre las 15.000 direcciones existentes en las listas de distribución oficiales y eliminarla, lo cual supone un esfuerzo desproporcionado basándonos en los criterios de proporcionalidad que reconoce la Agencia Española de Protección de Datos”, se ponen todos los medios al alcance de la organización para tramitar inmediatamente las solicitudes recibidas. Por ello, cuando se registró la solicitud de cancelación del denunciante, se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/18 contestó inmediatamente: “procederemos a hacerlo. Gracias”, aunque por causas desconocidas y ajenas a FeSP-UGT no pudo localizarse manualmente la dirección de correo electrónico corporativa del afectado en las listas de distribución facilitadas por la Gerencia. Esta situación fue comunicada denunciante, a la par que se le informaba de la posibilidad de no recibir más correos incluyendo la dirección B.B.B. como correo no deseado. Además, a fin de solucionar el error, se continuaron realizando búsquedas manuales en las listas de distribución de Atención Primaria, sin éxito. Los esfuerzos del sindicato por adecuarse a la normativa de protección de datos se demuestran en que no se han recibido más denuncias por esta causa, a pesar de la precariedad de los medios con los que se cuenta. Finalmente, el 3 de marzo de 2017, se hizo efectivo el ejercicio del derecho presentado por el denunciante cuando se localizó su dirección de correo electrónico en una de las listas de distribución facilitadas por dicha Gerencia, fecha a partir del cual el afectado no ha vuelto a recibir comunicaciones sindicales. QUINTO: Con fecha 24 de mayo de 2017 se inició período de práctica de pruebas, en cuyo marco se acordaron las siguientes pruebas: - Dar por reproducidas, a efectos probatorios, la denuncia interpuesta por el denunciante y su documentación, así como la posterior ampliación de la misma comunicándose por el afectado que continuaba recibiendo comunicaciones no deseadas en su cuenta de correo electrónico corporativo, al igual que las alegaciones al acuerdo de inicio PS/00140/2017 presentadas por la Federación de Servicios Públicos de la Unión General de Trabajadores (FSP-UGT). - Incorporar al procedimiento, a efectos probatorios, la siguiente documentación citada, en su defensa, por la Federación denunciada en el mencionado escrito de alegaciones: Sentencia del Tribunal Constitucional 281/2005, de fecha 7 de noviembre de 2005 y Resolución nº R/01136/2017 dictada por la Directora de la AEPD con fecha 25 de abril de 2017 en el expediente nº TD/02485/2016. - Requerir a la Federación denunciada para que aportase la información y/o documentación siguiente: Acreditación de que la baja de la cuenta de correo electrónico del denunciante se realizó con fecha 3 de marzo de 2017; Causa por la que se utilizan varias listas de distribución facilitadas por la Gerencia de Atención Primaria para remitir información sindical, justificando si las mismas son, o no, editables; Procedimiento implementado para excluir de dichas listas las cuentas de correo electrónico de los afectados que ejerzan su derecho de oposición y/o cancelación ante esa Federación. SEXTO: Con fecha 2 de junio de 2017 la representación de la FeSP-UGT presenta escrito de contestación a las pruebas requeridas en el que señala -Que la utilización de las listas de distribución facilitadas por las empresas en las que el Sindicato está presente constituye el cauce oficial impuesto para remitir información sindical. En este caso, la Gerencia de Atención Primaria como responsable del fichero utilizado actualiza la información de sus trabajadores incluida en el mismo. Se indica que se aporta copia del correo electrónico de dicha Gerencia aprobando, según se manifiesta, la solicitud de la FeSP-UGT de la creación de un correo corporativo a nombre de “ugt.atencionprimaria” con la finalidad de remitir información sindical, desde el cual accede a las listas de distribución autorizadas. El documento presentado no hace mención explícita al contenido y naturaleza de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/18 solicitud tramitada a la que se refiere, citando únicamente su referencia, sin aparecer mención alguna al reseñado dominio ni al uso autorizado del mismo por el Centro de Soporte a Usuarios y Gestión de Sistemas de Información remitente del envío. - En cuanto al procedimiento implementado para gestionar las solicitudes de ejercicio de derechos, reitera que se han llevado a cabo Auditorías Bienales en materia de Protección de Datos de Carácter Personal, cuyos informes resultantes pone a disposición de la AEPD, y repite que se han ejecutado diversas acciones formativas para concienciar en esta materia a los usuarios de sus sistemas de información. Con esta misma finalidad indica que se ha publicado en la Intranet de FeSP-UGT diversa documentación, entre la cual destaca el Documento de Seguridad de la Organización por recoger, según indica, el procedimiento seguido en aras de protocolarizar la gestión del ejercicio de los derechos. Se transcribe el procedimiento que, según señala, aparece en dicho documento para atender el derecho de cancelación de datos y cuyos resultados han resultado óptimos para la adecuada atención de los ejercicios de los derechos recibidos por la organización. Se arguye que dicho protocolo fue el seguido para contestar en tiempo y forma el ejercicio de derecho solicitado por el denunciante, a quien también se le comunicó la imposibilidad de cancelar sus datos al no poder localizar su dirección de email. También se incide en que aunque estas listas son editables, la localización de una cuenta entre un total de 15.000 direcciones supone un esfuerzo desproporcionado por no contar con buscadores adecuados. Asimismo, se adjunta copia de la Sentencia del Tribunal Constitucional y de la resolución de la AEPD a efectos probatorios SÉPTIMO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes hechos probados: 1. El denunciante, que indica presta servicios en el (.....) de la Consejería de Sanidad de la Comunidad de Madrid, es titular de la dirección de correo electrónico corporativo “ A.A.A.”. 2. Con fechas 14 y 24 de noviembre de 2016, el denunciante remitió a la cuenta “UGT Atención Primaria” de la FeSP-UGT sendos correos electrónicos solicitando la baja de su correo electrónico corporativo “ A.A.A.” para no recibir más comunicaciones procedentes de esa organización, facilitando a tales efectos en ambas solicitudes, la segunda de reiteración, su nombre, apellidos y DNI. 3. Con fecha 15 de noviembre de 2016, la FeSP-UGT respondió desde la misma cuenta “UGT Atención Primaria”, asociada a la dirección de correo electrónico corporativa “ B.B.B.”, al primero de los correos reseñados en el Hecho Probado 2 anterior con dos envíos en los que le informaba de lo siguiente: En el primer envío, realizado a las 10:09 horas del día 15 de noviembre de 2016, le comunica: “Procederemos a hacerlo. Gracias” En el segundo envío, realizado a las 10:32 horas del día 15 de noviembre de 2016, le comunica: Estimado C.C.C., no encuentro tu email en nuestros contactos, si eres tan amable, para no recibir nuestras comunicaciones, pon esta dirección en “correo no deseado”. Si aun así sigues recibiendo mensajes háznoslo saber. Un saludo.” 4. Con fecha 28 de noviembre de 2016, la FeSP-UGT respondió desde la cuenta “UGT Atención Primaria” el segundo de los correos de solicitud de “Baja Correo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/18 Electrónico” del denunciante, reseñados en el Hecho Probado 2 anterior, con un envío en el que le informaba de lo siguiente: “Sentimos las molestias que le estamos ocasionando y le pedimos disculpa. Le agradeceríamos que pusiera este correo en “correo no deseado”, ya que por motivos que desconocemos no se consigue llegar a su dirección para sacarlo de los listados. Si aun así siguiera recibiendo nuestra información, por favor, háznoslo saber. Un saludo.” 5. Con fechas 20 de diciembre de 2016, 19, 25

(2)y 27 de enero, 3, 11, 15 y 19 febrero de 2017 la FeSP-UGT remitió un total de nueve correos electrónicos con información sindical a la cuenta de correo corporativa del denunciante desde la mencionada cuenta “UGT Atención Primaria” . 6. La FeSP-UGT ha indicado que con fecha 3 de marzo de 2017 canceló la dirección de correo electrónico del denunciante al localizar la lista de distribución facilitada por la Gerencia de Atención Primaria en la que se incluía dicho dato. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  1. g)en relación con el artículo 36 de la LOPD. II El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma el artículo 2.1 de la misma señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”. El concepto de dato de carácter personal aparece definido en el artículo 3.
  2. a)de la LOPD, como: “Cualquier información concerniente a personas físicas identificadas o identificables”, señalándose en el artículo 5.1.
  3. f)del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, en adelante RDLOPD como datos de carácter personal: “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a personas físicas identificadas o identificables”. En el apartado 1.
  4. o)se define persona identificable, como “toda persona cuya identidad pueda determinase, directa o indirectamente, mediante cualquier comunicación referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados” Por otra parte, en relación con los hechos que se imputan en el presente procedimiento, se hace necesario, en primer lugar, transcribir diversos conceptos que se acuñan en el artículo 3 de la LOPD: “
  5. b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/18 que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.
  6. c)Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.
  7. d)Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.
  8. e)Afectado o interesado: Persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
  9. c)del presente artículo.
  10. f)Procedimiento de disociación: Todo tratamiento de datos personales de modo que la información que se obtenga no pueda asociarse a persona identificada o identificable.
  11. h)Consentimiento del interesado: Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. En el presente caso, con carácter previo al estudio del fondo del asunto, procede analizar si la dirección de correo electrónico corporativa del denunciante es un dato de carácter personal. En relación con dicho asunto es criterio reiterado de esta Agencia sostenido en numerosa resoluciones que la dirección de correo electrónico de una persona física puede ser considerada dato personal. A la vista de las definiciones anteriores, se deduce que la dirección de correo electrónico, considerando que contiene información acerca de su titular, o en la medida en que permita proceder a la identificación del mismo sin esfuerzos desproporcionados, ha de ser considerada como dato de carácter personal y su tratamiento sometido a la LOPD, por lo que, con carácter general, no será posible su utilización o cesión si el interesado no ha dado su consentimiento para ello o si, como en el caso que nos ocupa, ha mostrado su negativa a su utilización. Debe añadirse, evidentemente, que si junto con la dirección de correo electrónico aparecieran otros datos que permitieran la identificación del sujeto (tales como su nombre y apellidos, su número de teléfono o su domicilio, conjunta o separadamente), la identificación sería absoluta y no se plantearía duda de que nos encontramos ante un supuesto de tratamiento de datos de carácter personal. Ratifica dicho criterio la Sentencia de la Audiencia Nacional de fecha 15 de enero de 2011, Rec. 297/2010, en relación con un expediente sancionador tramitado también por la AEPD por el tratamiento inconsentido de la dirección de correo electrónico profesional de una persona física, y en la que se indicaba: “En relación con la dirección de correo electrónico, esta Sala ha considerado en las SSAN, Sec. 1ª, de 23 de marzo 2006 (Rec. 911/2033) y de 25 de mayo de 2006 (Rec. 536/2044), que la dirección de correo electrónico de la que es titular una persona física, constituye una información que le concierne, que le afecta, y que forma parte del ámbito de su privacidad protegido por la Ley de Protección de Datos, siéndole plenamente aplicable su régimen jurídico. En dichos procedimientos se argumentaba que en los supuestos a los que se referían la dirección de correo electrónico no recogía el nombre y apellidos de su titular y no tenía vinculación con su identidad, por lo que no debería considerarse como dato de carácter personal, pero ello fue desestimado por las citadas sentencias. En concreto, la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/18 SAN de 25 de mayo de 2006 especificaba que la dirección de correo electrónico de que es titular una persona física constituye un dato personal porque “con independencia de que la denominación de la dirección corresponda o no con el nombre y apellido de su titular, país o empresa en la que trabaja, lo cierto es que se puede mediante una operación nada difícil, identificar perfectamente a una persona física, ya que esa dirección de correo electrónica aparecerá vinculada a un dominio concreto, por lo que sólo será necesario consultar al servidor en que se gestione dicho servicio. Es más esta Sala , en un caso como el número del Documento Nacional de Identidad, que en principio no tiene aparente relación externa con el nombre y apellido de su titular, ha entendido que es un dato de carácter personal amparado por la LOPD en la sentencia de 27 de octubre de 2044 (Rec. 1112/2002). Por tanto, la dirección de correo electrónico de una persona física, en la medida que permite identificar a su titular sin plazos ni actividades desproporcionadas, constituye un dato personal y su tratamiento en casos como el presente, y sin perjuicio de las previsiones específicas establecidas por la Ley de Servicios de Sociedad de la Información para otros supuestos, está sometido a las previsiones de la LOPD. En el caso de autos, la dirección de correo electrónico que la Asociación recurrente tenía registrada en sus ficheros era ***EMAIL.1 que, en contra de lo alegado por la recurrente, no es una dirección de correo electrónico de una persona jurídica, en concreto de los Laboratorios Losán S.L., sino de una persona física, el denunciante D. (nombre y primer apellido). A mayor abundamiento, en el presenta caso la dirección aparece conformada por el nombre de la persona física titular de la misma. Se trata de la dirección de correo de una persona física en los laboratorios donde presta sus servicios, viene referida a dicha persona física, tratándose de su dirección profesional. Esta Sala ha reiterado que el dato del afectado, aunque se refiera al lugar de ejerció de su profesión, es un dato de una persona física con una actividad profesional, cuya protección cae en la órbita de la citada Ley Orgánica 15/1999, SAN, Secc. 1ª de 3 de octubre de 2007 (Rec. 163/2006)Además, cabe señalar que el tratamiento que hizo la Asociación recurrente de la citada dirección de correo para remitir el video y comunicado en cuestión, no guarda relación con la actividad de los citados laboratorios, sino que hace referencia a una cuestión referente a un ámbito distinto, estrictamente privado o personal que trasciende el ámbito de la citada entidad y de la actividad profesional del denunciante.” En este caso, la dirección de correo electrónico objeto de tratamiento por la denunciada está compuesta por el nombre y apellido del denunciante, por lo que se trata de un dato personal de carácter personal cuyo tratamiento está sometido a la citada Ley Orgánica. III El artículo 6 de la LOPD dispone siguiente: en cuanto al “Consentimiento del afectado” lo “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/18 mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El artículo 6 del Reglamento General de Protección de Datos, Reglamento (UE) 2016/679, norma aplicable a partir del 25 de mayo de 2018, establece que el tratamiento de datos personales “solo será lícito si se cumple la menos una de las siguientes condiciones”: “
  12. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno varios fines específicos;
  13. b)el tratamiento es necesario para la ejecución de un contrato en el que le interesado es parte o para la aplicación a petición de este de medidas precontractuales” ” (…); fijando en su artículo 7.1) en relación con el consentimiento del interesado que “el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales A su vez, el artículo 12 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (en adelante RLOPD), establece los siguientes “Principios generales” en cuanto a la “Obtención del consentimiento del afectado”: “1. El responsable del tratamiento deberá obtener el consentimiento del interesado para el tratamiento de sus datos de carácter personal salvo en aquellos supuestos en que el mismo no sea exigible con arreglo a lo dispuesto en las leyes. La solicitud del consentimiento deberá ir referida a un tratamiento o serie de tratamientos concretos, con delimitación de la finalidad para los que se recaba, así como C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/18 de las restantes condiciones que concurran en el tratamiento o serie de tratamientos. 2. Cuando se solicite el consentimiento del afectado para la cesión de sus datos, éste deberá ser informado de forma que conozca inequívocamente la finalidad a la que se destinarán los datos respecto de cuya comunicación se solicita el consentimiento y el tipo de actividad desarrollada por el cesionario. En caso contrario, el consentimiento será nulo. 3. Corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho. Es decir, corresponde al responsable del tratamiento comprobar que cuenta con el consentimiento del afectado cuando se produce algún tratamiento que afecta a los datos personales del mismo o constatar, en su caso, que se produce alguna de las excepciones al consentimiento previstas por la normativa vigente, atendido que debe estar en disposición de justificar tales circunstancias. Por otra parte, el artículo 16.1 de la LOPD establece lo siguiente: “1. El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días. 2. Serán rectificados o cancelados, en su caso, los datos de carácter personal cuyo tratamiento no se ajuste a lo dispuesto en la presente Ley y, en particular, cuando tales datos resulten inexactos o incompletos. 3. La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones Públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión. 4. Si los datos rectificados o cancelados hubieran sido comunicados previamente, el responsable del tratamiento deberá notificar la rectificación o cancelación efectuada a quien se hayan comunicado, en el caso de que se mantenga el tratamiento por este último, que deberá también proceder a la cancelación. 5. Los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado”. Determinando los apartados 2 y 3 del artículo 32 del RLOPD que: “2. El responsable del fichero resolverá sobre la solicitud de rectificación o cancelación en el plazo máximo de diez días a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre. En el caso de que no disponga de datos de carácter personal del afectado deberá igualmente comunicárselo en el mismo plazo. 3. Si los datos rectificados o cancelados hubieran sido cedidos previamente, el responsable del fichero deberá comunicar la rectificación o cancelación efectuada al cesionario, en idéntico plazo, para que éste, también en el plazo de diez días contados desde la recepción de dicha comunicación, proceda, asimismo, a rectificar o cancelar los datos. La rectificación o cancelación efectuada por el cesionario no requerirá C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/18 comunicación alguna al interesado, sin perjuicio del ejercicio de los derechos por parte de los interesados reconocidos en la Ley Orgánica 15/1999, de 13 de diciembre.” En el mismo sentido, el RLOPD, en su artículo 34.
  14. a)establece que: “El derecho de oposición es el derecho del afectado a que no se lleve a cabo el tratamiento de sus datos de carácter personal o se cese en el mismo en los siguientes supuestos:
  15. a)Cuando no sea necesario su consentimiento para el tratamiento, como consecuencia de la concurrencia de un motivo legítimo y fundado, referido a su concreta situación personal, que lo justifique, siempre que una Ley no disponga lo contrario”. Añadiendo el artículo 35 del mismo RLOPD que: “1. El derecho de oposición se ejercitará mediante solicitud dirigida al responsable del tratamiento. Cuando la oposición se realice con base en la letra
  16. a)del artículo anterior, en la solicitud deberán hacerse constar los motivos fundados y legítimos, relativos a una concreta situación personal del afectado, que justifican el ejercicio de este derecho. 2. El responsable del fichero resolverá sobre la solicitud de oposición en el plazo máximo de diez días a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre. En el caso de que no disponga de datos de carácter personal de los afectados deberá igualmente comunicárselo en el mismo plazo. 3. El responsable del fichero o tratamiento deberá excluir del tratamiento los datos relativos al afectado que ejercite su derecho de oposición o denegar motivadamente la solicitud del interesado en el plazo previsto en el apartado 2 de este artículo”. IV El presente procedimiento tiene por objeto dirimir si el tratamiento realizado por la FeSP-UGT con la dirección de correo electrónico profesional “ A.A.A.” del denunciante, consistente en la remisión a esa cuenta de correo electrónico de una serie de comunicaciones con información sindical en contra de su voluntad manifiesta a ese específico uso, ha podido suponer una vulneración del principio del consentimiento recogido en el mencionado artículo 6.1 de la LOPD en su relación con lo dispuesto en el artículo 16 del RLOPD. El presupuesto fáctico de la infracción atribuida a la FeSP-UGT se concreta en el tratamiento del correo electrónico corporativo del denunciante para enviarle, entre el 20 de diciembre de 2016 y el 19 de febrero de 2017, hasta un total de nueve comunicaciones con información sindical mediando negativa expresa del afectado a recibir las mismas en dicha cuenta de correo electrónico, toda vez que el afectado había ejercido con fechas 14 y 24 de noviembre de 2016 ante dicha organización su derecho de cancelación de datos al solicitar la baja de la dirección de correo electrónico corporativa “ A.A.A.” para que la denunciada cesase en su utilización para ese tipo de tratamiento, puesto que no estaba interesado en recibir dichos envíos en la cuenta de correo la que era usuario. Las citadas solicitudes de baja fueron contestadas por la FeSP-UGT, en su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/18 condición de responsable del tratamiento, con fechas 15 y 28 de noviembre de 2016 en los términos señalados en las tres comunicaciones citadas en los Hechos Probados Tercero y Cuarto, constando en la contestación efectuada a las 10:09 horas del día 15/11/2016 “Procederemos a hacerlo. Gracias”. Por lo tanto, está probado en el procedimiento, que la denunciada remitió las nueve comunicaciones citadas después de haber transcurrido el plazo de diez días legalmente establecido en el artículo 16.1 de la LOPD para hacer efectivo el derecho de cancelación del afectado, a contar desde el siguiente a la recepción de la primera de las dos solicitudes de baja de correo electrónico recibidas del denunciante. De lo que se colige que la FeSP-UGT, no contaba con el consentimiento del denunciante para el tratamiento de datos personales realizado, en concreto, la utilización de su dirección de correo electrónico para remitirle información sindical. La denunciada alega que para remitir las mencionadas comunicaciones a los trabajadores utiliza las listas de distribución facilitadas y actualizadas, en este caso, por la Gerencia de Atención Primaria de la Consejería de Sanidad de la Comunidad de Madrid. Sin cuestionar que esa Federación en el ejercicio del derecho a la actividad sindical contemplado en el artículo 2.1.
  17. d)de la Ley Orgánica 11/1985, de 2 de agosto, de Libertad Sindical, (en adelante LOLS), pueda difundir información de esa naturaleza en el ámbito de la empresa o centro de trabajo tanto al colectivo de sus afiliados como a los trabajadores en general, en tanto que el artículo 8.1.
  18. c)de la LOLS reconoce el derecho de los mismos a recibir esa información, no puede obviarse que la FeSP-UGT estaba obligada a atender las solicitudes de ejercicio de cancelación de datos efectuadas por el denunciante desautorizando el tratamiento de su cuenta de correo profesional para enviarle información sindical. A este respecto, no puede obviarse que el envío por parte de la FeSP-UGT de comunicaciones utilizando las direcciones de correo electrónico registradas en las referidas listas de distribución implica un uso de los datos personales de los usuarios o titulares de dichas cuentas que convierte a esa Federación en responsable de ese tratamiento, teniendo, por ello, la obligación de atender los derechos ARCO recogidos en la normativa vigente en materia de protección de datos. Ese mismo planteamiento se recoge en el precedente invocado por esa Federación en su escrito de alegaciones, en concreto en la resolución nº R/01136/2017, referida al expediente nº TD/02485/2016,en la que se señalaba que: “Independientemente de que UGT no sea el responsable del fichero, el envío de correos electrónicos utilizando la lista de distribución referida implica un tratamiento de los datos, lo que convierte a UGT en responsable del tratamiento, teniendo la obligación de atender los derechos ARCO recogidos en la normativa vigente en materia de protección de datos. En consecuencia, UGT (Sindicato UGT Santiago) deberá arbitrar las medidas necesarias tendentes a impedir que los datos relativos al reclamante sean tratados por dicha sección sindical fuera del periodo electoral sindical.” En relación con esta cuestión, se observa que de poco sirve que las listas de distribución de direcciones de correo electrónico de los trabajadores a los que se va a remitir información sindical hayan sido debidamente actualizadas por el responsable del fichero que las facilita, en este caso, la Gerencia de Atención Primaria según la denunciada, si, previamente a la realización de los envíos con información sindical, la FeSP-UGT no bloquea en dichas listas las cuentas correspondientes a los usuarios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/18 que hayan ejercido sus derechos de oposición o de cancelación de sus datos ante dicha Federación, para lo cual deberá establecer mecanismos de filtrado que impidan el uso de las direcciones de correo electrónico de las personas que hayan ejercido ante esa organización los citados derechos a fin de garantizarles su efectividad. Téngase en cuenta, además, que la denunciada no ha probado que el tratamiento analizado fuera realizado en período de elecciones sindicales, situación que de producirse conllevaría que prevalecería el derecho a la actividad sindical reconocido en el artículo 2.1 de la referida LOLS, frente al derecho a la protección de datos de carácter personal garantizado, entre otros, a través del principio del consentimiento recogido en el artículo 6 de la LOPD. A tenor de todo lo cual, se estima vulnerado por la FeSP-UGT el artículo 6.1 de la LOPD en relación con el artículo 16.1 de la misma norma, puesto que al no hacer efectivo el ejercicio del derecho de cancelación de datos solicitado por el denunciante hasta el 3 de marzo de 2017, fecha en que bloqueó la cuenta de correo electrónico corporativo del afectado, dicha organización continuó tratando su dirección de correo electrónico profesional para enviarle comunicaciones informativas no deseadas, siendo el último envío con información sindical que consta en el procedimiento como remitido al afectado por la denunciada de fecha 19 de febrero de 2017. Es decir, la Federación denunciada ha continuado enviando correos electrónicos a la dirección del denunciante tras ejercer éste su derecho a la cancelación de sus datos personales, lo que ha dado lugar a la vulneración del principio del consentimiento para el tratamiento de los datos personales del denunciante. En cuanto a la dificultad alegada para localizar la cuenta de correo electrónico del denunciante entre las listas de distribución utilizadas, se considera que no se pueden invocar dificultades técnicas o esfuerzos desproporcionados de tal índole que dificulten su filtrado por más de tres meses, cuando éstas resultan editables y, además, se trata de las mismas listas de distribución que se utilizan para la realización de los envíos con información sindical. En cualquier caso, recae bajo el ámbito de responsabilidad de la denunciada establecer mecanismos que permitan estructurar sus registros de tal modo que se posibilite el ejercicio de los derechos ARCO de los afectados y se garantice el cumplimiento del derecho del consentimiento de conformidad con lo previsto en la normativa de protección de datos. V En este caso se considera que la FeSP-UGT está sometida al régimen sancionador de la LOPD en tanto que responsable del tratamiento analizado. Así, el 43.1 de la LOPD establece que “Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley”, definiéndose en el artículo 3.
  19. d)de la citada norma como “Responsable del fichero o tratamiento” “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. De lo actuado en el procedimiento se evidencia que dicha Federación ha determinado, en el marco del derecho a la actividad sindical que ostenta, la finalidad concreta (envío de información de interés sindical) para la que iban a utilizarse las direcciones de correo electrónico obrantes en las listas de distribución facilitadas por la Gerencia de Atención Primaria de la Consejería de Sanidad de la Comunidad de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/18 Madrid, a la par que ha estableciendo el contenido de cada uno de los mensajes que iban a ser remitidos a los trabajadores utilizando las direcciones de correo electrónico de esas listas actualizadas. El artículo 44.3.
  20. b)de la LOPD tipifica como infracción grave: “
  21. b)Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En este caso, la entidad FSP-UGT ha incurrido en la infracción descrita por tratar los datos del denunciante sin su consentimiento, ya que en las fechas en que trató el correo electrónico del denunciante para remitirle las nueve comunicaciones descritas ya había transcurrido cumplidamente el plazo de diez días fijado en los artículos 16.1 y 32.2 del RLOPD para hacer efectivo el derecho de cancelación de datos ejercido por el denunciante ante esa organización sindical, resultando responsable, a título de culpa, de la vulneración del principio del consentimiento consagrado en el artículo 6.1 de la LOPD, conducta que encuentra su tipificación en el artículo 44.3.
  22. b)de dicha norma. VI El artículo 45.1, 2, 4 y 5 LOPD establece lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  23. a)El carácter continuado de la infracción.
  24. b)El volumen de los tratamientos efectuados.
  25. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  26. d)El volumen de negocio o actividad del infractor.
  27. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  28. f)El grado de intencionalidad.
  29. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  30. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  31. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  32. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”. “5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  33. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  34. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/18
  35. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  36. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  37. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. El apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del infractor, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En el presente caso se considera que opera el supuesto
  38. a)previsto en el artículo 45.5 de la citada norma, al apreciarse una cualificada disminución de la culpabilidad de la denunciada como consecuencia de la concurrencia significativa de los siguientes criterios del apartado 4 del artículo 45 de la citada Ley Orgánica: Criterio d): El volumen de negocio del infractor se considera inexistente dado el tipo de actividad desarrollada por la denunciada. Criterio e): Los beneficios obtenidos como consecuencia de la comisión de la infracción son inexistentes, ya que el tratamiento efectuado está asociado a información sindical. Criterio f): En cuanto al grado de intencionalidad se tiene en cuenta que no hay constancia de que el tratamiento efectuado responda a una actuación intencionada, valorándose en forma especial que los correos electrónicos remitidos al denunciante pretendían la difusión de información de interés para los trabajadores, según los fines que le son propios y sin ánimo de perjudicar los derechos del denunciante. Motivo por el cual cabe la imposición de una sanción en la cuantía de 900 € a 40.000 €, al tener la infracción cometida por la denunciada la calificación de grave, pero poder sancionarse conforme a las multas establecidas para las infracciones leves. Asimismo, a los efectos de graduación de la sanción a imponer, se entiende que en este supuesto opera como agravante el criterio a), ya que el carácter continuado de la infracción se patentiza en el hecho de que la dirección de correo electrónico corporativa del denunciante continuó tratándose por la denunciada hasta el 19 de febrero de 2017 para enviarle comunicaciones de naturaleza sindical en contra de su voluntad manifiesta a dicho uso. Es decir, más de dos meses después de transcurrido el plazo de tramitación de la primera de las dos solicitudes de cancelación de datos recibidas por la denunciada con fechas 14 y 24 de noviembre de 2016. Igualmente, opera como agravante el criterio g), puesto que esa Federación fue sancionada por la comisión de infracciones de la misma naturaleza con fecha 18 de marzo de 2015 en el PS/00519/2014, resolución R/00651/2015, así como con fecha 10 de mayo de 2017 en el PS/00069/2017, resolución R/01232/2017. A su vez, opera como atenuante el criterio j), en tanto que sin discutir la responsabilidad de la denunciada en el tratamiento inconsentido descrito, de lo actuado se desprende que desde el 14 de noviembre de 2016, fecha en que la FeSPC/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/18 UGT recibió la primera de las solicitudes del denunciante ejerciendo su derecho de cancelación, hasta que con fecha 3 de marzo de 2017, fecha en que finalmente pudo bloquear dicho dato, dicha organización utilizó los medios humanos y técnicos a su alcance para localizar en las listas de distribución facilitadas por la Gerencia de Atención Primaria la dirección de correo electrónico corporativa del denunciante, amén de que comunicó al afectado con fechas 15 y 28 de noviembre de 2016 el motivo por el que continuaba recibiendo las comunicaciones informativas sindicales en su cuenta de correo electrónico, sugiriéndole al mismo un medio alternativo para evitar su recepción hasta en tanto se solventaba la situación. Todo ello sin perjuicio de la obligación que le correspondía a esa Federación de habilitar los medios y procedimientos necesarios para no continuar tratando, más allá del plazo establecido por la LOPD, sin consentimiento de sus titulares los correos electrónicos corporativos de los trabajadores que hubieran ejercido, como el afectado, su derecho de cancelación de dicho dato ante esa organización a fin de que no se continuase utilizando para remitirle información sindical. Por lo que, de acuerdo con los criterios de graduación de las sanciones previstos en los apartados 4 y 5 del artículo 45 de la LOPD anteriormente citados, se estima adecuado a la gravedad de los hechos analizados imponer a la denunciada una sanción en la cuantía de 4.000 euros al haber quedado probada su responsabilidad en la infracción al principio del consentimiento descrita. Se acompaña relación de documentos obrantes en el procedimiento. A la vista de lo expuesto se procede a emitir la siguiente PROPUESTA DE RESOLUCIÓN Que por la Directora de la Agencia Española de Protección de Datos se sancione a la Federación de Servicios Públicos de la Unión General de Trabajadores (FSP -UGT) con multa de 4.000 € (Cuatro mil euros) por la infracción del artículo 6.1 en su relación con el artículo 16.1, ambos de la LOPD, tipificada como grave en el artículo 44.3.
  39. b)de dicha norma. En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS hábiles pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 en relación con el art. 73.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. No obstante, con anterioridad a la resolución del procedimiento la Federación de Servicios Públicos de la Unión General de Trabajadores (FSP -UGT) podrá llevar a cabo el pago voluntario de la sanción propuesta, lo que supondría una reducción de un 20% del importe de la misma, equivalente en este caso a 800 euros, por lo que la sanción quedaría establecida en 3.200 euros. La efectividad de la reducción señalada estaría condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. “ TERCERO: Notificada con fecha 12 de septiembre de 2017 dicha propuesta de resolución, la Federación de Servicios Públicos de la Unión General de Trabajadores (FSP -UGT) procede, con fecha 21 de septiembre de 2017, al pago de la sanción en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/18 cuantía de 3.200 euros (Tres mil doscientos euros), haciendo uso de la reducción prevista en el artículo 85.2 de la LPACAP, que conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.g), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente” De acuerdo con lo señalado, La Directora de la Agencia Española de Protección de Datos RESUELVE PRIMERO: DECLARAR la terminación del procedimiento PS/00140/2017, de conformidad con lo establecido en los apartados 2 y 3 del artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a la FEDERACIÓN DE SERVICIOS PÚBLICOS DE LA UNION GENERAL DE TRABAJADORES (FSP-UGT). De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, el presente Acuerdo se hará público, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/18 diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta resolución, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.