← España

PS-00156-2024

1/25  Expediente N.º: EXP202404802 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO DE RESPONSABILIDAD Y PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 29 de enero de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a SINDICATO DE LA ADMON. PÚBLICA DE LA CGT EN JEREZ Y COSTA NOROESTE DE CÁDIZ (en adelante, el SINDICATO), mediante el acuerdo que se transcribe: << Expediente N.º: EXP202404802 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: El 14 de abril de 2023 se interpuso un formulario de denuncia por incumplimiento de las exigencias de publicidad activa (artículo 23 de la Ley 1/2014, de 24 de junio, de Transparencia Pública de Andalucía) ante el Consejo de Transparencia y Protección de Datos de Andalucía contra el SINDICATO CGT DE ***CENTRO A.A.A.. Junto al citado formulario se acompaña un escrito en el que se manifiesta que: - “El día 24 de Marzo de 2023 los delegados del sindicato CGT se reunieron con (…)…, para la realización de un ACUERDO EXTRAESTATUTARIO (…). El día 28 de marzo de 2023 los sindicatos constituyeron una asamblea con el personal de ***CENTRO A.A.A., para que aceptaran o no, el acuerdo al que habían llegado con la Empresa. La hoja que se presentó al personal exponía en el encabezamiento: ASAMBLEA CONVOCADA POR (…) Y C.G.T. PARA VOTAR CONVENIO COLECTIVO NOMBRE Y APELLIDOS VOTA FIRMA DNI C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/25 A partir de ahí las personas trabajadoras fueron firmando y añadiendo sus datos personales debajo de donde correspondía. DENUNCIAMOS que la hoja donde firmamos, NO CONTENÍA ENUNCIADO ALGUNO SOBRE LA LEY DE PROTECCIÓN DE DATOS DONDE EL PERSONAL FIRMANTE AUTORIZARA QUE SUS DATOS PERSONALES APAREZCAN A LA VISTA DE TODAS LAS PERSONAS TRABAJADORAS QUE FUERON FIRMANDO.” - “Por otro lado, una trabajadora quería firmar el documento dejado en la recepción y se desplazó hasta allí, cuando llegó documento para firmar no estaba, siguiendo instrucciones otra trabajadora se lo había llevado a su domicilio particular con todos los datos de las personas trabajadoras que ya habían firmado hasta el momento. PRUEBA Nº2, CONVERSACIÓN VÍA WHATSAPP EN EL GRUPO DEL PERSONAL DONDE CONSTA QUE SE LO LLEVA A SU DOMICILIO PARTICULAR QUE NO PODEMOS IMPRIMIR POR LA PROTECCIÓN DE DATOS PERO A SU ENTERA DISPOSICIÓN PARA QUE ANTE LA AUTORIDAD PERTINENTE SE PUEDA COMPROBAR.” (sic) - “Añadir que el día 05 de Abril de 2023 sindicato CGT expone que, hasta un total de (...) personas expusieron sus datos personales en dicho escrito, el cual posteriormente REGISTRARON en la Administración de la Empresa. El día 13 de Abril de 2023, se celebro REUNION DE CONVENIO COLECTIVO (…) donde (…) expuso… que la PROPUESTA… está respaldada por la firma de (...) personas trabajadoras, que es el ESCRITO AL QUE SE HACE REFERENCIA EN ESTA DENUNCIA.” Se aporta junto al escrito como PRUEBA nº 1 imagen de una planilla con el encabezamiento “ASAMBLEA CONVOCADA POR (…) Y C.G.T. PARA VOTAR CONVENIO COLECTIVO” y las siguientes columnas: “NOMBRE Y APELLIDOS”, “VOTA”, “FIRMA” y “DNI”. Debajo puede verse que 7 personas firmaron y completaron sus datos personales, solo que éstos han sido anonimizados por quien denuncia. En esta planilla no consta información relativa al tratamiento de datos de carácter personal. Se aporta como junto al escrito como PRUEBA nº 3 impresión de un correo electrónico enviado por (…) de ***CENTRO A.A.A. a 20 destinatarios (cuyas direcciones de correo electrónico fueron cubiertas con rotulador) con el siguiente contenido: “Adjunto convocatoria para la reunión de Convenio el próximo Jueves a las 12.30 junto a nuestra propuesta en base a la respaldada por el personal (…).” Con fecha 3 de mayo de 2023 el Director del Consejo de Transparencia y Protección de Datos de Andalucía adoptó decisión de trasladar la citada denuncia a la Agencia Española de Protección de datos, toda vez que de la documentación aportada se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/25 desprende que el conocimiento de la cuestión expuesta no corresponde al Consejo, dado que el ámbito de su competencia, establecido en el Estatuto de Autonomía para Andalucía, en la Ley 1/2014, de 24 de junio, de Transparencia Pública de Andalucía y en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, se restringe, fundamentalmente, al sector público de Andalucía, mientras que el objeto de su reclamación se refiere a personas jurídicas externas al ámbito mencionado. Con fecha 4 de mayo de 2023 tuvo entrada en esta Agencia la citada cuestión. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 15 de junio de 2023 se dio traslado de dicha denuncia a la CONFEDERACIÓN GENERAL DEL TRABAJO con NIF G79196614, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El 6 de julio de 2023 la CONFEDERACIÓN GENERAL DEL TRABAJO contestó que: “La Confederación General del Trabajo es, como su propio nombre indica, una confederación de sindicatos, de acuerdo a lo recogido en el artículo 2.2.b. A ella, entre otras muchas organizaciones sindicales, está asociada la Confederación General del Trabajo de Andalucía, Ceuta y Melilla, que a su vez tiene depositados sus Estatutos, que también se adjuntan, lo que le dota de personalidad jurídica propia y plena capacidad de obrar, como establecen las normas antes expuestas. Su CIF además es el G 41414640, distinto al de la Confederación General del Trabajo y su domicilio, también distinto, es el sito en calle Alcalde Isacio Contreras nº 28, local 8 de Sevilla. (…) Los hechos objeto de la reclamación que nos ocupa, se produjeron dentro del ámbito territorial de la Confederación General del Trabajo de Andalucía, Ceuta y Melilla, siendo por tanto, en su caso, esa organización sindical a la que esta Agencia deberá dirigirse a los efectos que correspondan.” El 14 de julio de 2023 esta Agencia trasladó la citada denuncia a la CONFEDERACIÓN GENERAL DEL TRABAJO DE ANDALUCÍA con NIF G41414640. El 4 de agosto de 2023 la CONFEDERACIÓN GENERAL DEL TRABAJO DE ANDALUCÍA contestó que: “La Confederación General del Trabajo es, como su nombre indica, una confederación de sindicatos, de acuerdo a lo recogido en el artículo 3 y articulo 9. A ella, entre otras muchas organizaciones sindicales, está asociado el Sindicato de Administración Pública de la Confederación General del Trabajo en Jerez y Costa Noroeste De Cádiz, que a su vez tiene depositado sus estatutos, que también se adjuntan, lo que la dota de personalidad Jurídica propia y plena capacidad para obrar, como establecen las normas antes expuestas. Su CIF es G10912608, distinto al de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/25 Confederación General del Trabajo de Andalucía, Ceuta y Melilla, y su dirección Pza. del Arenal, 20-22, 1ª planta. 11403 – Jerez de la Frontera (Cádiz). (…) Los hechos objeto de la reclamación, se produjeron dentro del ámbito del Sindicato de Administración Pública de la Confederación General del Trabajo en Jerez y Costa Noroeste De Cádiz, siendo por tanto, en su caso, esa organización sindical a la que esta Agencia deberá dirigirse a los efectos que correspondan.” TERCERO: Con fecha 4 de agosto de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Con fecha 23 de octubre de 2023 el SINDICATO DE ADMINISTRACIÓN PÚBLICA DE LA CONFEDERACIÓN GENERAL DEL TRABAJO EN JEREZ Y COSTA NOROESTE DE CÁDIZ (en adelante, el SINDICATO) presentó un escrito de respuesta a requerimiento de información de esta Agencia, en el que manifestaba: - “La Confederación General del Trabajo es un ente “no centralizado” … No dispone de un único C.I.F. (…) La Confederación del Trabajo de Andalucía, Ceuta y Melilla (de ahora en adelante CGT-A), no tiene personas físicas afiliadas, sino que su principal labor es prestar diferentes servicios a los sindicatos que la integran. (…) …la mayoría de los sindicatos que integran la CGT-A, son muy pequeños y con escasos recursos, el Sindicato de la Administración Pública de la CGT en Jerez de la Frontera y Costa Noroeste de Cádiz (de ahora en adelante el Sindicato) tiene en la actualidad (...) afiliados y en ***CENTRO.A.A.A., únicamente tiene (...) (se adjunta certificado del secretario del Sindicato como Docum. Núm. 13). Las personas que prestan laborales sindicales en estos sindicatos …Ponen su mejor esfuerzo en lo que hacen y podemos dar fe de ello, al contemplar la preocupación de estas (...) de ***CENTRO A.A.A. por un error humano…”. - “En fecha 2 de octubre del 2018 (…) se designó Delegado de Protección de Datos, se adjunta como Docum. Núm. 1.” - “La denuncia se produce dentro de un conflicto laboral en ***CENTRO A.A.A. y se interpone por (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/25 Este ambiente de conflictividad laboral es provocado por la negociación de un nuevo convenio colectivo, negociación a la que se opone ***SINDICATO.1. Esta negociación acabo con la aprobación de un nuevo convenio colectivo extraestatutario con la conformidad de la mayoría de los trabajadores y la empresa. Y con el respaldo de ***SINDICATO.2 y CGT y la oposición de ***SINDICATO.1. Para consultar la opinión de los trabajadores y antes de la aprobación definitiva se llevó a cabo una asamblea de trabajadores convocada por los delegados pertenecientes a ***SINDICATO.2 y CGT. (…) En este contexto de CONFLICTIVIDAD QUE NADA TIENE QUE VER CON LA PROTECCIÓN DE DATOS es donde se produce la denuncia (…)” - “En primer lugar, intentar instrumentalizar la protección de datos como una “pataleta”. (…) Recordamos el criterio mantenido por la Audiencia Nacional, en su Sentencia de 1 de abril de 2011 (recurso 222/2010), con relación a un conflicto en el seno de una comunidad de propietarios (donde la protección de datos se suele utilizar como “arma arrojadiza” que se decía: “La importancia y trascendencia de la normativa de protección de datos y la relevancia de los derechos constitucionales que se encuentran en juego, aconsejan que no se pongan al servicio de rencillas particulares que deban solventarse en ámbitos distintos que deban tener relevancia solo en el ámbito doméstico que le es propio y no un ámbito como el jurisdiccional. La seriedad que conlleva el ejercicio de la potestad sancionadora aconseja que se pongan en marcha los mecanismos administrativos y jurisdiccionales correspondientes solo cuando se suponga que se ha producido una verdadera violación del derecho fundamental a la protección de datos”. - “En segundo lugar, el denunciante no es un afectado, por supuesto ni participo ni incluyo sus datos en ningún documento. Los afectados, los trabajadores de la Fundación ni han reclamado ni denunciado a la fecha de la notificación de este requerimiento de información (16/10/23). Y esto es así porque ninguno ha entendido que hubiera riesgo alguno para su derecho fundamental a la protección de datos y porque todos ellos conocían quien y para que se le solicitaban esos datos. Por otro lado, desconocemos como ha obtenido una de las hojas de firmas, quien le ha cedido esos datos (puesto que no lo indica) y en qué circunstancias. Aunque por el relato de una de nuestras afiliadas, parece una circunstancia provocada por el conflicto laboral.” - “MEDIDAS PREVIAS A LA DENUNCIA. (…) Demostraremos que existen procedimientos y procesos para evitar lo ocurrido y que se han tomado medidas para que no vuelva a ocurrir, pero que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/25 en el contexto al que aludimos (intereses particulares y sindicatos muy pequeños y con pocos recursos), el error humano es algo posible. • CONTENIDO Y DOCUMENTACIÓN El sindicato dispone de diferentes políticas de protección de datos que intentan facilitar y ayudar el cumplimiento de la normativa: 1º.- (…). 2º.- (…). 3º.- (…). 4º.- (…). 5º.- (…). 6º.- (…). 7º.- (…). 8º.- (…). Estas políticas han sido fruto de diferentes evaluaciones de riesgos, que se siguen realizando, tanto para ajustar las mismas en caso de ser necesario. Como para comprobar su grado de conocimiento. Estas evaluaciones se hacen tanto presencial como online. Las evaluaciones de riesgos son las que se relacionan: 1º.- (…). 2º.- (…). 3º.- (…). 4º.- (…). 5º.- (…). 6º.- (…). 7º.- (…). De la totalidad de las políticas y evaluaciones se envían recordatorios periódicos, noticias y test para ir verificando el cumplimento de las mismas. Adjuntamos dos ejemplos de correos electrónicos de este año: 17/10/23 y 22/03/23. Que aluden a la política de derechos y brechas, como Docum. Núm. 2. Y otros dos correos electrónicos sobre la evaluación de riesgos sobre la gestión, destrucción y archivo de la documentación en papel (02/02/23) y sobre la evaluación de riesgos en el puesto de trabajo (24/04/23). Se adjuntan como Docum. Núm. 3. • FORMACIÓN Y SENSIBILIZACIÓN (…) El Secretariado Permanente del Sindicato y la mayoría de los afiliados reciben los siguientes correos mensuales: - (…). - (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/25 - (…). (…) Junto con lo anterior, el Secretariado Permanente del sindicato y sus afiliados tienen acceso a formación online de forma permanente y sin conste para ellos. Se apertura una nueva convocatoria por cuatrimestre (se adjunta como Docum. Num. 6 la ultima convocatoria), disponiendo de cursos tanto en texto, video y audio (…). Y por último también se realizan formaciones presenciales (…). Este año se han realizado en: - Enero del 2023 - Mayo del 2023 (…)” - “MEDIDAS TOMADAS TRAS EL CONOCIMIENTO DE LA INCIDENCIA (ANTES DE TENER CONOCIMIENTO DE LA DENUNCIA) Y POSTERIORES. Tras tener conocimiento la integrante del comité de empresa de CGT, de la denuncia interpuesta (…) La misma se puso en contacto con el Sindicato, para que le indicaran como proceder en esta situación... respecto a los motivos objeto de la denuncia, transcribo literalmente lo que nos expone…: “Tema trabajador se lleva las firmas a su casa: totalmente falso nadie sabía dónde dejábamos los documentos cuando no estábamos de turnos (…) Coincidiendo con Semana Santa y para facilitar las firmas del personal, 2 compañeras de recepción se ofrecieron a custodiar y facilitar el documento a las personas que trabajarán esos días. Una de ellas trabajo sábado y domingo en turno de mañana, le entregue en mano un documento nuevo en blanco solo con la plantilla que habíamos creado, metido en una carpeta amarilla opaca, le advertí que tuviera cuidado, que cuando terminará su turno el documento lo metiera en su taquilla, taquilla que es personal y no tiene acceso nadie, bajo llave. Los documentos siempre han estado custodiados por CGT y ***SINDICATO.2 y estas dos compañeras más de recepción que se ofrecieron para custodiar y facilitar el trabajo, se les dejo un documento nuevo en blanco (…). Una trabajadora actualmente miembro del Comité por ***SINDICATO.1, pidió el papel de firma a la segunda compañera de recepción que lo custodiaba para firmar, saco su móvil y le hizo foto, la de recepción le increpó…” Tras leer el relato de los hechos, teníamos y tenemos claro (…) También que había existido una preocupación sobre la custodia de los documentos y que nadie se llevó listado alguno a casa (algo de lo que, por cierto, no se aporta prueba alguna). Cierto es que a pesar de que todos los trabajadores sabían los sindicatos que estaban convocando y solicitando la firma, motivo por el cual ningún trabajador ha realizado reclamación o denuncia en este sentido, la cláusula por un error humano no fue introducida en el documento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/25 El error humano, el error involuntario, la equivocación puntual y aislada por parte de unas personas (en nuestro caso únicamente (...)) que estaban sometidas en ese contexto a una presión y estrés importante. Compaginando su trabajo con el ejercicio de labores sindicales para la totalidad de sus compañeros, no debería dar lugar a la apertura de un procedimiento sancionador. Más cuando ese error puntual no ha producido ningún perjuicio a los afectados. Eso no quiere decir que no haya que tomar medidas (que ya se han tomado y se seguirán tomando), que no haya que mejorar procesos y procedimientos, pero no podemos sancionar el error humano con estas connotaciones, de lo contrario caeríamos en una responsabilidad objetiva. Tras tener conocimiento el Sindicato de lo ocurrido, se pusieron en marchas los protocolos establecidos al efecto, convocándose una reunión de urgencia al efecto. Dicha reunión se celebró el 11 de julio. En la misma estuvieron presentes: el Delegado de protección de datos, miembros del Secretariado Permanente del sindicato, un representante de CGT-A y las dos representantes de los trabajadores de CGT de ***CENTRO A.A.A.. Se trataron los siguientes puntos: 1.- Análisis de lo ocurrido y medidas a tomar para mejorar la transparencia y custodia de los documentos en el futuro. 2.- Formación y revisión sobre el contenido de las cláusulas informativas, así como la política de gestión, destrucción y archivo de la documentación en papel y la de ejercicios de derechos y brechas. Tras analizar ambos puntos, se decide como primera medida insertar en el tablón sindical de CGT dentro de ***CENTRO A.A.A. un documento con la cláusula extendida del Sindicato, para que todos los trabajadores puedan tener siempre a su disposición toda la información del Sindicato. Se adjunta dicha fotografía. Cláusula informativa que recoge los siguientes datos: - Responsable - Datos de contacto del Delegado de Protección de Datos - Finalidad - Base Jurídica - Plazo de conservación - Destinatarios - Derechos - Posibilidad de reclamación, en el que indicamos que se dispone de un Delegado de Protección de datos que puede mediar en caso de conflicto y los datos del mismo. Además de la posibilidad de dirigirse a la Agencia Española de Protección de Datos en todo caso. - Deber de confidencialidad - Posibilidad de obtener más información adicional. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/25 Esta misma información es remitida como una circular a la totalidad del personal, a través de una lista de difusión facilitada por la Fundación. Se adjunta imagen. Tras lo anterior, se realizar una revisión de la política de ejercicio de derechos y brechas de seguridad, así como de la de gestión, destrucción y archivo de la documentación en papel. Se resuelven las dudas que ambas plantean y se firman documentos informativos al respecto. (…) Se adjunta como ejemplo un justificante de cada uno de los documentos firmados. Docum. Núm. 7 y 8. 3.- Se realiza un plan formativo específico para evitar que esto vuelva a ocurrir y que ya se está desarrollando. Se adjuntan un par de ejemplos, Docum. Núm. 9 y 10. 4.- Se realiza de forma presencial la evaluación de riesgos denominada: “Evaluación periódica del cumplimiento de la protección de datos”. Esta evaluación consta de 27 preguntas, muchas de ellas íntimamente relacionadas con los hechos denunciados. (…) Se adjunta un modelo de esta, como Docum. Núm. 11. (…) 5.- Por último, revisamos el Registro de Actividades de Tratamiento y lo actualizamos. Docum. Núm. 12. 6.- Acordamos volver a tener una reunión presencial en el plazo máximo de 6 meses para valorar todas las actuaciones realizadas y planificar nuevas.” Se aporta copia de un correo electrónico de 17 de octubre de 2023 enviado desde dpo@cgtandalucia.org a listadpo@cgtandalucia.org con el asunto “CGT- TEST DERECHOS Y BRECHAS DE SEGURIDAD” y el siguiente contenido: “ (…)” Se aporta copia de un correo electrónico de 22 de marzo de 2023 enviado desde dpo@cgtandalucia.org a listadpo@cgtandalucia.org con el asunto “TEST DERECHOS DE PROTECCIÓN DE DATOS Y BRECHAS DE SEGURIDAD (IMPORTANTE)” y el siguiente contenido: “(…)

  1. a)(…)
  2. b)(…)
  3. c)(…) (…).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/25 Se aporta copia de un correo electrónico de 10 de febrero de 2023 enviado desde dpo@cgtandalucia.org con el asunto “EVALUACIÓN DE RIESGOS.- Sobre la destrucción y archivo de la documentación en papel” y el siguiente contenido: “(…)”. Se aporta copia de un correo electrónico de 30 de marzo de 2023 enviado desde dpo@cgtandalucia.org con el asunto “¿Y TÚ DE QUIÉN ERES? NO PONER UNA CLÁUSULA SON 5.000 EUROS DE SANCIÓN” y el siguiente contenido: “(…)” Se aporta un documento con el título “DOCUMENTO INFORMATIVO EJERCICIO DE DERECHOS Y BRECHAS DE SEGURIDAD” del sindicato “SINDICATO DE ADMINISTRACIÓN PÚBLICA DE LA CGT EN JEREZ DE LA FRONTERA Y COSTA NOROESTE”, cargo “SECCION SINDICAL (…)” y fecha 11 de julio de 2023. En este documento se indica el plazo en que debe notificarse las brechas de seguridad, se explican los tipos de brechas y la valoración del alcance la brecha de seguridad, pero no se da indicaciones concretas sobre las medidas para evitar que estas brechas se produzcan. Se aporta un documento del SINDICATO DE ADMINISTRACIÓN PÚBLICA DE LA CGT EN JEREZ DE LA FRONTERA Y COSTA NOROESTE, con el título “INFORMACIÓN SOBRE LA GESTIÓN, DESTRUCCIÓN Y ARCHIVO DE LA DOCUMENTACIÓN EN PAPEL”, de fecha 3 de julio de 2023, en el que se indica, entre otra información: “(…) 5. Mientras la documentación con datos de carácter personal no se encuentre archivada, por estar en proceso de revisión o tramitación, ya sea previo o posterior a su archivo, la persona que se encuentre al cargo de la misma deberá custodiarla e impedir en todo momento que pueda ser accedida por persona no autorizada. 6. Los armarios, archivadores u otros elementos en los que se almacenen los documentos con datos personales, deberán encontrarse en áreas en las que el acceso esté protegido con puertas de acceso dotadas de sistemas de apertura mediante llave u otro dispositivo equivalente. Dichas áreas deberán permanecer cerradas cuando no sea preciso el acceso a los documentos. Si, atendidas las características de los locales de que dispusiera el responsable, no fuera posible cumplir lo establecido en el punto anterior, el responsable adoptará medidas alternativas, que deberá motivar, como por ejemplo la colocación de videocámaras. (…) 13. Mesas limpias. Cada usuario, cada vez que se ausente de su mesa de trabajo o bien cuando termine su jornada laboral, deberá retirar todos aquellos documentos que contengan datos de carácter personal o confidencial, y guardarlos bajo llave. (…)” Se aporta certificado del Secretario de Administración y Finanzas del Sindicato de Administración pública Inter-Comarcal de Jerez y Costa Noroeste de Cádiz de la Confederación General del Trabajo (CGT), de fecha 20 de octubre de 2023, en el que certifica que el total de afiliados a este sindicato eran (...), de los cuales X trabajadores pertenecían a ***CENTRO A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/25 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de las presuntas infracciones cometidas, se inicia un procedimiento sancionador. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  4. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). III Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que el SINDICATO realizó, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas: nombre y apellido y número de documento nacional de identidad (DNI). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/25 El SINDICATO realizó esta actividad en su condición de responsable del tratamiento, dado que era quien determinaba los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. IV Obligación incumplida. Integridad y confidencialidad La letra
  5. f)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
  6. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." En el presente caso, consta una captura de imagen de una planilla con el encabezamiento “ASAMBLEA CONVOCADA POR (…) Y C.G.T. PARA VOTAR CONVENIO COLECTIVO” y las siguientes columnas: “NOMBRE Y APELLIDOS”, “VOTA”, “FIRMA” y “DNI”. Y debajo puede verse que 7 personas firmaron y completaron sus datos personales, solo que éstos han sido anonimizados por quien denuncia. En su escrito de 23 de octubre de 2023 el SINDICATO ha indicado que la integrante del comité de empresa de CGT ha manifestado: “Coincidiendo con Semana Santa y para facilitar las firmas del personal, 2 compañeras de recepción se ofrecieron a custodiar y facilitar el documento a las personas que trabajarán esos días. Una de ellas trabajo sábado y domingo en turno de mañana, le entregue en mano un documento nuevo en blanco solo con la plantilla que habíamos creado, metido en una carpeta amarilla opaca, le advertí que tuviera cuidado, que cuando terminará su turno el documento lo metiera en su taquilla, taquilla que es personal y no tiene acceso nadie, bajo llave. Los documentos siempre han estado custodiados por CGT y ***SINDICATO.2 y estas dos compañeras mas de recepción que se ofrecieron para custodiar y facilitar el trabajo, se les dejo un documento nuevo en blanco (…). Una trabajadora actualmente miembro del Comité por ***SINDICATO.1, pidió el papel de firma a la segunda compañera de recepción que lo custodiaba para firmar, saco su móvil y le hizo foto, la de recepción le increpó…” Es decir, que la confidencialidad de los datos personales de quienes habían firmado la citada planilla se vio vulnerada al no haber procurado el SINDICATO las medidas adecuadas para garantizar la seguridad de tales datos a fin de impedir que las planillas escaparan del ámbito del SINDICATO, toda vez que había sido facilitada a las trabajadoras de recepción, lo que provocó que tal imagen pudiera ser captada. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, se considera que los hechos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/25 conocidos podrían ser constitutivos de una infracción, imputable al SINDICATO, por vulneración del artículo transcrito anteriormente. V Tipificación de la infracción del artículo 5.1.
  7. f)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  8. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  9. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." VI Propuesta de sanción por la infracción del artículo 5.1.
  10. f)del RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  11. a)a
  12. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/25
  13. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  14. b)la intencionalidad o negligencia en la infracción;
  15. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  16. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  17. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  18. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  19. g)las categorías de los datos de carácter personal afectados por la infracción;
  20. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  21. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  22. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  23. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  24. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  25. a)El carácter continuado de la infracción.
  26. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  27. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  28. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  29. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  30. f)La afectación a los derechos de los menores.
  31. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  32. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/25 En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, correspondería la imposición de multa. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
  33. f)del RGPD, permite fijar inicialmente una sanción de multa administrativa de 1.000,00 euros. VII Obligación incumplida. Información que deberá facilitarse cuando los datos personales se obtengan del interesado El artículo 13 del RGPD establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado, en virtud del cual: "1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
  34. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  35. b)los datos de contacto del delegado de protección de datos, en su caso;
  36. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  37. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  38. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  39. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  40. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  41. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/25 de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  42. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  43. d)el derecho a presentar una reclamación ante una autoridad de control;
  44. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
  45. f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información." En el presente caso, el SINDICATO puso a disposición de los trabajadores de la ***CENTRO A.A.A. una planilla para juntar firmas en la que se solicitaban los siguientes datos personales: nombres y apellidos, firma y número de DNI, sin que se facilitara a los interesados información alguna al respecto del citado tratamiento. Esta planilla fue firmada por hasta un total de (...) personas, a las cuales no se les proporcionó información de ningún tipo de la exigida en virtud del artículo 13 del RGPD. En su escrito de 23 de octubre de 2023 el SINDICATO ha admitido que ello fue debido a un error humano: “Las personas que prestan laborales sindicales en estos sindicatos …Ponen su mejor esfuerzo en lo que hacen y podemos dar fe de ello, al contemplar la preocupación de estas (...) de ***CENTRO A.A.A. por un error humano…”. Y que: “Demostraremos que existen procedimientos y procesos para evitar lo ocurrido y que se han tomado medidas para que no vuelva a ocurrir, pero que en el contexto al que aludimos (intereses particulares y sindicatos muy pequeños y con pocos recursos), el error humano es algo posible.” Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, se considera que los hechos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/25 conocidos podrían ser constitutivos de una infracción, imputable al SINDICATO, por vulneración del artículo transcrito anteriormente. VIII Tipificación de la infracción del artículo 13 del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "(…)
  46. b)los derechos de los interesados a tenor de los artículos 12 a 22; (…)” Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  47. h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica." IX Propuesta de sanción por la infracción del artículo 13 del RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  48. a)a
  49. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/25
  50. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  51. b)la intencionalidad o negligencia en la infracción;
  52. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  53. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  54. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  55. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  56. g)las categorías de los datos de carácter personal afectados por la infracción;
  57. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  58. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  59. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  60. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  61. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  62. a)El carácter continuado de la infracción.
  63. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  64. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  65. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  66. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  67. f)La afectación a los derechos de los menores.
  68. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  69. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/25 En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, correspondería la imposición de multa. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 13 del RGPD, permite fijar inicialmente una sanción de multa administrativa de 1.000,00 euros. X Medidas correctivas De confirmarse la infracción, la resolución que se dicte podrá establecer las medidas correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento de la legislación de protección de datos personales, en este caso del artículo 5.1.
  70. f)del RGPD y artículo 13 del RGPD, de acuerdo con lo establecido en el citado artículo 58.2.
  71. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…” Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. En el presente acto se establece cuál es la presunta infracción cometida y los hechos que podrían dar lugar a esa posible vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, en la resolución que se adopte se podrá requerir a el SINDICATO para que, en el plazo de TRES MESES, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte las medidas siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/25 - Acreditar la aplicación efectiva de las medidas técnicas y organizativas adecuadas, no solo para cumplir con la normativa, sino para demostrar su cumplimiento antes las autoridades de control e interesados. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento sancionador podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Asimismo, se recuerda que ni el reconocimiento de la infracción cometida ni, en su caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa obligación. Por lo tanto, a tenor de lo anteriormente expuesto, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a SINDICATO DE LA ADMON. PÚBLICA DE LA CGT EN JEREZ Y COSTA NOROESTE DE CÁDIZ, con NIF G10912608, por la presunta infracción del artículo 5.1.
  72. f)del RGPD y artículo 13 del RGPD, tipificadas en los artículos 83.5 del RGPD. SEGUNDO: NOMBRAR como instructor/a a B.B.B. y, como secretario/a, a C.C.C., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
  73. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder, sin perjuicio de lo que resulte de la instrucción, sería de: - Por la presunta infracción del artículo 5.1.
  74. f)del RGPD, multa administrativa de: 1.000,00 euros. - Por la presunta infracción del artículo 13 del RGPD, multa administrativa de: 1.000,00 euros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/25 QUINTO: NOTIFICAR el presente acuerdo a SINDICATO DE LA ADMON. PÚBLICA DE LA CGT EN JEREZ Y COSTA NOROESTE DE CÁDIZ, con NIF G10912608, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 1.600,00 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 1.600,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 1.200,00 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia expresos de cualquier acción o recurso en vía administrativa contra la sanción. A estos efectos, en caso de acogerse a alguna de ellas, deberá remitir a la Subdirección General de Inspección de datos comunicación expresa del desistimiento o renuncia a cualquier acción o recurso en vía administrativa contra la sanción indicando a cuál de las dos reducciones se acoge o si es a las dos. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (1.600,00 euros o 1.200,00 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección junto con la comunicación expresa del desistimiento o renuncia a cualquier acción o recurso en vía administrativa contra la sanción para continuar con el procedimiento en concordancia con la cantidad ingresada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/25 Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 1479-111224 Olga Pérez Sanjuán La Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2 LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía >> SEGUNDO: En fecha 14 de febrero de 2025, el SINDICATO ha procedido al pago de la sanción en la cuantía de 1.200,00 euros haciendo uso de las dos reducciones previstas en el acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad en relación con los hechos a los que se refiere el acuerdo de inicio y su calificación jurídica. TERCERO: el SINDICATO ha renunciado expresamente a cualquier acción o recurso en vía administrativa contra la sanción. CUARTO: En el acuerdo de inicio transcrito anteriormente se señalaba que, de confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  75. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de las medidas incluidas en el acuerdo de inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/25 en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III Pago voluntario y reconocimiento de responsabilidad De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo de inicio notificado se informaba sobre la posibilidad de reconocer la responsabilidad y de realizar el pago voluntario de la sanción propuesta, lo que supondría dos reducciones acumulables de un 20% cada una. Con la aplicación de estas dos reducciones, la sanción quedaría establecida en 1.200,00 euros y su pago implicaría la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la notificación del citado acuerdo de inicio, el SINDICATO ha procedido al reconocimiento de la responsabilidad y al pago voluntario de la sanción, acogiéndose a las dos reducciones previstas y renunciando expresamente a cualquier acción o recurso en vía administrativa. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/25 resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente resolución. La suma de las citadas cuantías arroja una cantidad total 2.000,00 euros. Tras haber procedido SINDICATO DE LA ADMON. PÚBLICA DE LA CGT EN JEREZ Y COSTA NOROESTE DE CÁDIZ al pronto pago y reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de un 40% del total mencionado, lo cual supone la cantidad definitiva de 1.200,00 euros. SEGUNDO: DECLARAR la terminación del procedimiento EXP202404802, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: ORDENAR a SINDICATO DE LA ADMON. PÚBLICA DE LA CGT EN JEREZ Y COSTA NOROESTE DE CÁDIZ para que en el plazo de 3 meses desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho del acuerdo de inicio transcrito en la presente resolución. CUARTO: NOTIFICAR la presente resolución a SINDICATO DE LA ADMON. PÚBLICA DE LA CGT EN JEREZ Y COSTA NOROESTE DE CÁDIZ. QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario y reconocimiento de la responsabilidad al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, por parte de la presente autoridad se acepta la renuncia expresamente manifestada por SINDICATO DE LA ADMON. PÚBLICA DE LA CGT EN JEREZ Y COSTA NOROESTE DE CÁDIZ, no cabiendo en consecuencia la interposición de recurso potestativo de reposición frente a la presente resolución, todo ello sin perjuicio de la posibilidad de acudir a la vía jurisdiccional contencioso-administrativa. En consecuencia, teniendo en cuenta lo dispuesto en el artículo 90 de la LPACAP, dado que no cabe ningún recurso en vía administrativa al haber renunciado expresamente, la presente resolución será firme y plenamente ejecutiva a partir de su notificación. No obstante, conforme a lo previsto en el artículo 90.3.
  76. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/25 el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. 1259-180225 Olga Pérez Sanjuán La Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2 LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.