PS-00171-2020 | Europaius

1/15  Procedimiento Nº: PS/00171/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y con base en los siguientes ANTECEDENTES PRIMERO: En fecha 04/09/2019 se reciben en la Agencia Española de Protección de Datos (AEPD) siete reclamaciones contra la CONSEJERÍA DE SANIDAD DE LA JUNTA DE CASTILLA Y LEÓN -***GERENCIA.1- con NIF S4711001J (en adelante, la reclamada) por presunta vulneración de la normativa de protección de datos de carácter personal. Los reclamantes manifiestan en sus respectivos escritos -idénticos entre sí, salvo en lo que concierne a sus datos personales- que el 19/08/2019 la ***GERENCIA.1 (en lo sucesivo, la Gerencia) remitió “al correo corporativo” de la Junta de Personal del Área de Salud de ***LOCALIDAD.1 un listado con la retribución correspondiente al concepto de productividad variable del año 2019 en el que figuraban, junto con las retribuciones por ese concepto, los datos relativos a nombres, apellidos y categorías profesionales. Indican también que este hecho facilitó que la misma mañana en la que los listados se enviaron fueran objeto de un tratamiento ulterior al ser distribuidos a través de WhatsApp. Hechos que -afirman los reclamantes- han “vulnerado su derecho a la intimidad y confidencialidad”. SEGUNDO: A la vista de lo expuesto en las reclamaciones, la AEPD, a fin de evaluar su admisibilidad a trámite, en fecha 28/10/2019, en el ámbito del expediente número E/09774/2019 y al amparo del artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos y Garantías de los derechos digitales (LOPDGDD), dio traslado de las reclamaciones a la ***GERENCIA.2 y a la Junta de Personal y les solicitó que, en el plazo de un mes desde su recepción, informaran de la decisión adoptada para poner fin a la situación irregular provocada, de las medidas adoptadas para evitar que se produzcan en el futuro hechos similares y que comunicaran su decisión a los reclamantes, debiendo acreditar ante esta Agencia la recepción de tal comunicación por los destinatarios. La Gerencia y la Junta de Personal recibieron el escrito de la AEPD, respectivamente, el 31/10/2019 y 08/11/2019, tal como consta acreditado en el expediente administrativo. No se tiene constancia en la AEPD de que la Junta de Personal hubiera respondido a la petición informativa que le fue notificada. El 29/11/2019 se recibe la respuesta del DPD de la ***GERENCIA.2 a la solicitud informativa (en lo sucesivo, el DPD). El DPD concluye, a propósito de “las reclamaciones relativas a la remisión del listado con las retribuciones del complemento de productividad 2019 de la Gerencia [...] a la Junta de Personal del Área de Salud y posterior difusión a través de WhatsApp”, que la Gerencia cumplió con las obligaciones que le imponen los artículos 24 y 25 del RGPD; que ha actuado de forma C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/15 proactiva para minimizar los riesgos inherentes a su actividad y que ha adoptado las medidas para evitar que se produzcan en el futuro incidentes similares. Las afirmaciones del DPD van precedidas de esta explicación: Contactó con el responsable en protección de datos del “***HOSPITAL.1” y le remitió las reclamaciones. El responsable llevó a cabo una investigación de los hechos y se entrevistó con las diferentes “Direcciones”, obteniendo las conclusiones siguientes: 1.-La Orden de 08/07/2019, del Consejero de Sanidad, por la que dicta Instrucciones para el pago del complemento de productividad al personal de los ámbitos de Atención Especializada; Atención Primaria y Gerencia de Emergencias Sanitarias por la evaluación parcial del cumplimiento de objetivos del Plan Anual de Gestión 2019, establece ( apartado 7º) que “La presente Orden, así como las respectivas Resoluciones de los Gerentes de los Centros asignando las cuantías indicadas serán de conocimiento por parte del personal del Centro publicándose las mismas en el tablón de anuncios y facilitando copia a la representación sindical” (El subrayado es de la AEPD) 2.- Que, en cumplimiento de tal Orden y del artículo 23.3.

c)de la Ley 30/1984, de medidas para la reforma de la Función Pública –refiriendo dicho precepto al complemento de productividad, que indica que “Las cantidades que reciba cada funcionario por este concepto serán de conocimiento público de los demás funcionarios del Departamento u Organismo Público interesado, así como de los representantes sindicales”- se procedió por la Gerencia al envío de esta información a las Juntas de Personal correspondientes. 3.- Que “en ningún caso se hizo la comunicación a través de WhatsApp”. Añade: “(...) Es más, en la Gerencia [...] existe un protocolo donde se dispone, y así es conocido por todos, que no se deben utilizar plataformas de mensajería instantánea para comunicaciones profesionales por el riesgo que entrañan para la protección de la privacidad”. Y dice: “El canal utilizado para las comunicaciones es siempre un medio formal y corporativo” (El subrayado es de la AEPD) 4.- Indica que “cuestión distinta es que el listado donde aparecen los complementos de productividad se haya podido reenviar a través de WhatsApp por los receptores de la información, ajenos a la Dirección de la Gerencia [...]” Añade que, con el fin de evitar situaciones análogas en el futuro, cada información enviada a las Juntas de Personal, siempre que contengan datos de carácter personal y sobre ellos exista un deber de sigilo, irá acompañada de un aviso en el que se advertirá que la información cedida está sujeta a estrictas normas de confidencialidad y a la normativa de protección de datos de carácter personal. Se indicará en el aviso que los sindicatos tienen un deber de sigilo respecto a la información que se les comunica con carácter reservado; que no podrá ser utilizada fuera del ámbito de aquella ni para fines distintos de los que motivaron su entrega y deberá ser tratada de tal forma que se garantice la seguridad de los datos personales. Indicará, asimismo, que el sindicato se hace responsable de su incumplimiento y del incumplimiento de cualquier otra norma relativa a la confidencialidad y secreto De conformidad con lo dispuesto en el artículo 65 de la LOPDGDD, el 02/06/2020 la Directora de la AEPD firmó el acuerdo de admisión a trámite de la presente reclamación y con arreglo a lo previsto en el artículo 65.5 LOPDGDD se procedió a notificar tal acuerdo a los reclamantes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/15 TERCERO: Con fecha 21/09/2020, la Directora de la AEPD acordó iniciar procedimiento sancionador al reclamado por la presunta infracción del artículo 6.1.a, en relación con el artículo 5.1.a, del Reglamento (UE) 2016/679, de 27 de abril, del Parlamento Europeo y del Consejo, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (RGPD), infracción tipificada en el artículo 83.5.
a)del RGPD. CUARTO: En cumplimiento de la previsión del artículo 14.2 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) el acuerdo de apertura del procedimiento se notificó a la reclamada por medios electrónicos. El certificado emitido por el servicio de Soporte del Servicio de Notificación Electrónica y Dirección Electrónica Habilitada de la Fábrica Nacional de Moneda y Timbre (en adelante, FNMT), que obra en el expediente, acredita que la AEPD puso la notificación a disposición del destinatario en fecha 24/09/2020 y que en fecha 05/10/2020 se produjo el rechazo automático de la notificación. El artículo 43.2, segundo inciso, de la LPACAP establece que “Cuando la notificación por medios electrónicos sea de carácter obligatorio, o haya sido expresamente elegida por el interesado, se entenderá rechazada cuando hayan transcurrido diez días naturales desde la puesta a disposición de la notificación sin que se acceda a su contenido”. A su vez, el artículo 41.5 de la LPACAP precisa que “Cuando el interesado o su representante rechace la notificación de una actuación administrativa, se hará constar en el expediente, especificándose las circunstancias del intento de notificación y el medio, dando por efectuado el trámite y siguiéndose el procedimiento”. QUINTO: La reclamada no formuló alegaciones al acuerdo de inicio del procedimiento. El artículo 64.2.
f)de la LPACAP -disposición de la que se informó la reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.f LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. SEXTO: El acuerdo de inicio del procedimiento acordó en el punto tercero de la parte dispositiva “INCORPORAR al expediente sancionador, a efectos de prueba, las reclamaciones presentadas por los reclamantes y la información y documentación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/15 obtenida por la Subdirección General de Inspección de Datos en la fase de información previa al acuerdo de admisión a trámite de la reclamación.” A la vista de todo lo actuado, por la Agencia Española de Protección de Datos se consideran hechos probados en el presente procedimiento los siguientes, HECHOS 1. Los reclamantes (siete) denuncian que el 19/08/2019 la Gerencia remitió al correo corporativo de la Junta de Personal del Área de Salud un listado con la retribución correspondiente al concepto de productividad variable del año 2019 en el que figuraban, junto con las retribuciones por ese concepto, los datos relativos a nombres, apellidos y categorías profesionales. 2. El DPD de la reclamada ha reconocido que la Gerencia procedió a enviar a las Juntas de Personal las cuantías asignadas al personal en concepto de productividad y ha justificado el tratamiento de los datos del personal de la gerencia en el cumplimiento de la Orden de 08/07/2019, del Consejero de Sanidad, por la que dicta Instrucciones para el pago del complemento de productividad al personal de los ámbitos de Atención Especializada; Atención Primaria y Gerencia de Emergencias Sanitarias por la evaluación parcial del cumplimiento de objetivos del Plan Anual de Gestión 2019, en conexión con el artículo 23.3.
c)de la Ley 30/1984, de medidas de reforma de la Función Pública. 3.La Orden de 08/07/2019, del Consejero de Sanidad, en su apartado 7 establecía que “La presente Orden, así como las respectivas Resoluciones de los Gerentes de los Centros asignando las cuantías indicadas serán de conocimiento por parte del personal del Centro publicándose las mismas en el tablón de anuncios y facilitando copia a la representación sindical” (El subrayado es nuestro) 4. El apartado Quinto, “Asignación individual”, de la Orden de 08/07/2019, del Consejero de Sanidad, decía: “1. La asignación individual de las cuantías que correspondan en concepto de productividad a cada profesional se efectuará por Resolución del Gerente del Centro correspondiente. 2. Las Resoluciones de los Gerentes de cada uno de los Centros en las que se determine la cuantía individual de la productividad por cumplimiento de objetivos del Plan Anual de Gestión, indicarán que se adoptan por delegación del Consejero de Sanidad”. (El subrayado es nuestro) 5. El DPD de la reclamada -al igual que exponen los reclamantes- manifiesta que la comunicación a la Junta de Personal se efectuó mediante correo electrónico a su dirección corporativa. 6. La reclamada no ha formulado alegaciones al acuerdo de apertura. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/15 FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos de carácter personal y garantía de los derechos digitales (LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II El RGPD se ocupa en el artículo 5 de los principios que han de regir el tratamiento de los datos personales, precepto que dispone: “1. Los datos personales serán:
a)tratados de manera lícita, leal y transparente con el interesado (<<licitud, lealtad y transparencia>>) (…) 2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (<<responsabilidad proactiva>>)” El artículo 6 del RGPD, “Licitud del tratamiento”, concreta en el apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2. (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/15 El artículo 4 del RGPD, “Definiciones”, apartado 2, ofrece un concepto legal de “tratamiento”: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjunto de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo, interconexión, limitación, supresión o destrucción” . III 1. Se atribuye a la reclamada en el presente procedimiento sancionador una infracción del artículo 6.1. del RGPD pues, como ha quedado acreditado, efectuó un tratamiento de los datos personales de los profesionales que prestan servicio en la Gerencia que no estaba amparado en ninguna de las condiciones de licitud que esa disposición relaciona. Además, conforme al artículo 6.2 del RGPD, compete al responsable del tratamiento la carga de acreditar que el tratamiento efectuado respeta el principio de licitud y está incardinado en alguna de las bases jurídicas previstas en el artículo 6.1 del RGPD. El tratamiento de datos personales contrario al RGPD sobre el que versa el procedimiento consistió en que la Gerencia comunicó a la Junta de Personal un listado con la relación de los profesionales que prestan en ella sus servicios - identificados por el nombre, apellidos, NIF y categoría profesional- con el importe de la productividad asignada a cada uno tras la evaluación parcial del cumplimiento de objetivos del Plan Anual de Gestión 2019. La conducta infractora sobre la que versó el acuerdo de apertura del procedimiento no abarcó ni se refirió al tratamiento posterior de los datos incluidos en el listado que, según parece, se habrían difundido a través de WhatsApp. Tampoco las reclamaciones formuladas se centraron en esos tratamientos posteriores ni los atribuyeron a la Gerencia, sino que se limitaron a explicar que, el hecho de que los listados se hubieran facilitado a la Junta de Personal propició que la información se difundiera por terceros a través de la red social. El DPD de la reclamada, en su respuesta a la solicitud informativa de esta Agencia, manifestó que el tratamiento de datos que la Gerencia efectuó -la comunicación a la Junta de Personal del listado con los datos de los trabajadores y la productividad asignada a cada empleado- tenía su fundamento jurídico, conjuntamente, en el artículo 23.3.
c)de la Ley 30/1984, de 2 de agosto, de Medidas para la Reforma de la Función Pública y en la Orden de 08/07/2019, del Consejero de Sanidad, por la que dictaba Instrucciones para el pago del complemento de productividad al personal de los ámbitos de Atención Especializada, Atención Primaria y Gerencia de Emergencias Sanitarias por la evaluación parcial del cumplimiento de objetivos del Plan Anual de Gestión 2019 (en lo sucesivo, la Orden) La Orden citada establecía en sus apartados Quinto y Séptimo lo siguiente: En el apartado Quinto, bajo la rúbrica “Asignación individual” decía: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/15 “1. La asignación individual de las cuantías que correspondan en concepto de productividad a cada profesional se efectuará por Resolución del Gerente del Centro correspondiente. 2. Las Resoluciones de los Gerentes de cada uno de los Centros en las que se determine la cuantía individual de la productividad por cumplimiento de objetivos del Plan Anual de Gestión, indicarán que se adoptan por delegación del Consejero de Sanidad”. (El subrayado es nuestro) El apartado Séptimo, bajo la rúbrica “Publicidad y participación de la Representación Sindical”, indicaba que “(...) las respectivas resoluciones de los Gerentes de los Centros asignando las cuantías individuales serán de conocimiento por parte del personal del Centro, publicándose las mismas en el tablón de anuncios y facilitando copia a la representación sindical” (El subrayado es nuestro) El artículo 23.3.
c)de la Ley 30/1984 establecía: “3. Son retribuciones complementarias: (...)
c)El complemento de productividad destinado a retribuir el especial rendimiento, la actividad extraordinaria y el interés o iniciativa con que el funcionario desempeñe su trabajo. Su cuantía global no podrá exceder de un porcentaje sobre los costes totales de personal de cada programa y de cada órgano que se determinará en la Ley de Presupuestos. El responsable de la gestión de cada programa de gasto, dentro de las correspondientes dotaciones presupuestarias determinará, de acuerdo con la normativa establecida en la Ley de Presupuestos, la cuantía individual que corresponda, en su caso, a cada funcionario. En todo caso, las cantidades que perciba cada funcionario por este concepto serán de conocimiento público de los demás funcionarios del Departamento u Organismo interesado, así como de los representantes sindicales.” (El subrayado es nuestro) Ahora bien, la Ley 7/2007, de 12 de abril, del Estatuto Básico del Empleado Público (EBEP), a través de su disposición derogatoria única, letra b), derogó el artículo 23 de la Ley 30/1984 con el alcance que determinaba la disposición final cuarta de dicha Ley. Ambas normas del EBEP -esto es, la disposición derogatoria única, letra b), y la disposición final cuarta- se reprodujeron sin modificación alguna en el Texto Refundido de la Ley del Estatuto Básico del Empleado Público, aprobado por el Real Decreto Legislativo 5/2015, de 30 de octubre (TREBEP). Así, el TREBEP establece en la disposición derogatoria única: “Quedan derogadas con el alcance establecido en el apartado 2 de la disposición final cuarta (...)
b)La Ley 30/1984, de 2 de agosto, de Medidas para la Reforma de la Función Pública, los artículos (...) 23, (...)”. Y la disposición final cuarta, apartado 2, del TREBEP indica: “Hasta que se dicten las Leyes de Función Pública y las normas reglamentarias de desarrollo se mantendrán en vigor en cada Administración Pública las normas vigentes sobre ordenación, planificación y gestión de recursos humanos en tanto no se opongan a lo establecido en este Estatuto”. (El subrayado es nuestro) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/15 2. El TREBEP, al igual que hiciera el EBEP, extiende su ámbito de aplicación (artículo 2, apartado 1) al personal funcionario y, en lo que proceda, al personal laboral al servicio, entre otras, de las Administraciones de las Comunidades Autónomas. Además, el artículo 2 dice: “3. El personal docente y el personal estatutario de los Servicios de Salud se regirán por la legislación específica dictada por el Estado y por las comunidades autónomas en el ámbito de sus respectivas competencias y por lo previsto en el presente Estatuto, excepto el capítulo II del título III, salvo el artículo 20, y los artículos 22.3, 24 y 84.” El apartado 5 del artículo 2 del TREBEP añade que “El presente Estatuto tiene carácter supletorio para todo el personal de las Administraciones Públicas no incluido en su ámbito de aplicación.” En consecuencia, con las excepciones que contempla expresamente el artículo 2.3 del TREBEP, el personal estatutario se encuentra sometido a esa Ley. De la conexión de la disposición derogatoria única, apartado b), del TREBEP, que menciona el artículo 23 de la Ley 30/1984, y de la disposición final cuarta, apartado 2, del TREBEP, que determina cuál es el alcance que ha de otorgarse a la norma derogatoria mencionada, resulta lo siguiente: De una parte, que la efectividad de la derogación del artículo 23 de la Ley de Medidas para la Reforma de la Función Pública se aplaza a la aprobación de Leyes de Función Pública y normas reglamentarias de desarrollo. De otra, que la misma disposición final cuarta, apartado 2, del TREBEP añadió a esa derogación aplazada un inciso: “en tanto no se opongan a lo establecido en este Estatuto”. Llegados a este punto es necesario referirnos al Dictamen de 26/01/2009 de la Abogacía General del Estado-Dirección del Servicio Jurídico del Estado, al Informe del Gabinete Jurídico de la AEPD 241/2009 que acogió sus planteamientos y que refleja el criterio que ha mantenido desde entonces esta Agencia, así como al Informe del Gabinete Jurídico de la AEPD con Ref. de entrada 212884/2019. El Dictamen 26/01/2009 de la Abogacía General del Estado -cuyas conclusiones parten de las normas del EBEP que hemos citado, disposiciones derogatoria y final, que, como se ha indicado insistentemente, se reproducen sin cambios en el vigente TREBEP- destacó que, aunque del juego de la disposición derogatoria única, apartado b), y de la disposición final cuarta, apartado 3, del EBEP se aplazaba la derogación del artículo 23 de la Ley 30/1984 hasta que entrara en vigor la Ley de Función Pública y normas reglamentarias de desarrollo, “existe un límite a tal aplazamiento”, el de la incompatibilidad de la regulación contenida en el artículo 23 de la Ley 30/1984 con lo que establecía el propio EBEP. El Dictamen explica que el artículo 40 del EBEP, referente a las funciones y legitimación de los órganos de representación -precepto que es idéntico al artículo 40 del TREBEP- a diferencia de su antecedente legislativo inmediato, el artículo 9 de la Ley 9/1987, de 12 de junio, de órganos de representación, determinación de las condiciones de trabajo y participación del personal al servicio de las Administraciones Públicas, no atribuyó a las Juntas y Delegados de Personal en su caso, la función C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/15 específica consistente en tener conocimiento de la cantidad que percibía cada funcionario en concepto de productividad. El Dictamen emitido por el Servicio Jurídico del Estado señala que la comparación de ambos preceptos -el artículo 40 EBEP y el artículo 9 de la Ley 9/1987- evidencia la voluntad del legislador en el EBEP de mantener las funciones encomendadas a los representantes sindicales en el artículo 9 de la Ley 9/1987 excepto la de que se pusiera en su conocimiento las cantidades que percibía cada funcionario por el concepto de productividad. Resulta clara, explica el Dictamen, la incompatibilidad entre el artículo 9 de la Ley 9/1987, que venía a concretar la previsión del último inciso del último párrafo del artículo 23.3.
c)de la Ley 30/1984 y la contenida en el artículo 40 del EBEP, por lo que concluye que la previsión del artículo 23.3.c), inciso último, último párrafo, de la Ley 30/1984 “debe entenderse derogada por el artículo 40 del EBEP”, sin perjuicio de que subsistan las restantes previsiones del artículo 23.3 de la Ley 30/1984 sobre retribuciones complementarias, dado que respecto de estas últimas no se contiene en el EBEP ninguna norma que sea incompatible con ella. Siguiendo el Dictamen de la Abogacía General del Estado, el Gabinete jurídico de la AEPD indicó en su Informe 241/2009 -con el que modifica definitivamente el criterio hasta entonces sustentado por la AEPD- que la cesión a los representantes sindicales de los datos referidos a las percepciones individualizadas por los empleados públicos en concepto de complemento de productividad y gratificaciones no se encontraba amparado en el artículo 11.2.
a)de la Ley Orgánica 15/1999, de Protección de Datos (LOPD), siendo preciso para que dicha cesión de datos pudiera tener lugar contar con el consentimiento de los afectados. Por tanto, desde 2009, quedó claramente establecida por esta Agencia cuál era la correcta interpretación de las normas en juego, a tenor de las cuales no existía base legal para la cesión a los representantes sindicales de los datos relativos a la productividad individual de los empleados públicos siendo necesario para tal comunicación contar con el consentimiento de los propios afectados. Tras la entrada en vigor del RGPD la conclusión ha de ser, en este punto, la misma: la comunicación a las Juntas de Personal u otros órganos de representación sindical de la productividad individual de los empleados públicos exige que concurra como base legitimadora del tratamiento el consentimiento del titular de los datos. Nos remitimos en tal sentido al Informe del Gabinete Jurídico de la AEPD con número de entrada 212884/2019. 3. El artículo 6.1. del RGPD exige para que el tratamiento de los datos personales sea lícito que concurra alguna de las bases jurídicas que en él se enumeran. La reclamada ha invocado como fundamento del tratamiento de datos que llevó a cabo la aplicación conjunta del artículo 23.3.
c)de la Ley 30/1984 y de la Orden de 08/07/2019, del Consejero de Sanidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/15 3.1. Por ello, parece conveniente referirnos, siguiendo el Dictamen de la Abogacía General y de los Informes del Gabinete Jurídico de esta Agencia, a si el tratamiento de datos objeto de la reclamación podía o no ampararse en la base jurídica descrita en el apartado
c)del artículo 6.1 del RGPD: “
c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;” Como se ha expuesto en los párrafos precedentes, el artículo 23 de la Ley 30/1984 quedó derogado por el EBEP, teniendo en cuenta para ello no sólo la disposición derogatoria única, letra
b)y la disposición final cuarta del citado EBEP, sino, además, como explica el Dictamen de la Abogacía General al que seguimos, porque siendo el artículo 9 de la Ley 9/1987 la concreción de la previsión contenida en el último inciso del último párrafo del artículo 23.3.c de la Ley 30/1984 -que es el invocado en el este asunto por la reclamada- debe entenderse derogado por el artículo 40 del EBEP, toda vez que esta disposición mantiene las funciones que el artículo 9 de la Ley 9/1987 encomendaba a los representantes sindicales a excepción, de la puesta en su conocimiento de las cantidades que percibía cada funcionario por el concepto de productividad. Así pues, cuando acontecieron los hechos que son objeto de valoración en el presente procedimiento, no existía una norma con rango formal de ley habilitante del tratamiento efectuado por la reclamada. La única norma vigente era una disposición reglamentaria, la Orden de 08/07/2019 del Consejero de Sanidad, que obligaba a los Gerentes a comunicar a las Juntas de Personal los listados de productividad. La base jurídica del apartado
c)del artículo 6.1 del RGPD se refiere a la existencia de “una obligación legal”. Y, como nos recuerda el Informe del Gabinete Jurídico de la AEPD con referencia de entrada 212884/2019, el sentido de la expresión “obligación legal” contenida en el artículo 6.1.
c)del RGPD equivale, en la regulación española de protección de datos, a obligación establecida en una ley en sentido formal, a una norma con rango de ley. No puede ser de otro modo a la luz del artículo 53.1 de la Constitución (CE) que dispone que el ejercicio de los derechos y libertades reconocidos en el Capítulo segundo del Título I -entre ellos, por tanto, el derecho fundamental a la protección de datos personales contenido en el artículo 18.4 de la CE- sólo puede regularse por ley, que deberá en todo caso respetar su contenido esencial. Cabe añadir, que la AEPD, a través de los Informes de su Gabinete Jurídicos, ha analizado la posibilidad de encontrar cobertura legal a tratamientos de datos idénticos al que aquí se valora al amparo del artículo 40 del TREBEP en conexión con el artículo 10.3 de la Ley Orgánica 11/1985, de 2 de agosto, de Libertad Sindical (LOLS) La AEPD ha concluido que no cabe fundar el citado tratamiento en el cumplimiento de una obligación legal conectada con el artículo 10.3 de la LOLS pues “la función de vigilancia y protección de las condiciones de trabajo atribuida a las Juntas de Personal por el artículo 40 del TREBEP y por el artículo 10.2 de la LOLS, puede desarrollarse sin necesidad de proceder a una cesión masiva de los listados de productividad del personal que presta sus servicios en el Órgano o Dependencia correspondiente”. (El subrayado es nuestro) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/15 Considera esta Agencia a través de los informes emitidos por su Gabinete Jurídico que, en tanto el Dictamen de 26/01/2009 de la Abogacía General del Estado continúa plenamente vigente, a su juicio, “la función de control de los representantes de los trabajadores quedará plenamente satisfecha, mediante la cesión a la Junta de Personal de información debidamente disociada. De tal modo, cuando dicha información de carácter personal se encuentre sometida previamente a un procedimiento de disociación, no resultará aplicable lo dispuesto en dicho Reglamento -RGPD- decayendo sus previsiones en relación con la información anonimizada objeto de tratamiento”. (El subrayado es nuestro) 3.2. El apartado
f)del artículo 6.1. del RGPD se refiere a otra de las circunstancias en las que puede fundarse la licitud del tratamiento: que sea “necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” Respecto a si es posible amparar en este fundamento jurídico el tratamiento de datos efectuado por la reclamada, se hacen las siguientes consideraciones: El apartado f, del artículo 6.1 RGPD se refiere a un tratamiento que sea “necesario” para la “satisfacción de intereses legítimos” del responsable del tratamiento o de un tercero (por lo que aquí interesa, la Junta de Personal) que “prevalezcan” sobre los intereses, derechos y libertades fundamentales de los titulares de los datos. Esta Agencia ha considerado en el Informe de su Gabinete Jurídico con referencia de entrada 212884/2019 que “no se aprecia que el tratamiento de los datos personales cuya cesión se pretende -contenidos en los “listados de productividad”-, resulte necesario para la satisfacción de los intereses legítimos -ex letra
f)del artículo 6.1. del RGPD- perseguidos por las Juntas de Personal, que deban prevalecer sobre los intereses o los derechos y libertades fundamentales de los trabajadores afectados, respecto de los que se impone la correspondiente protección jurídica” (El subrayado es nuestro) El Informe mencionado, matiza, no obstante, que “cabe considerar la concurrencia de intereses legítimos para que, individualmente, los trabajadores de un mismo Departamento puedan acceder a los datos referidos al complemento de productividad percibido por los restantes miembros de aquél que encuentra su amparo en lo dispuesto en el artículo 6.1.
f)del Reglamento.” Y sobre este particular, añade que “Tal y como se señalaba en nuestro informe jurídico 137/2010, de 7 de abril, en los supuestos de acceso de los empleados públicos, dicho acceso ha de facilitarse en el modo que pueda resultar menos perjudicial al derecho del resto de afectados. Ello conduce a concluir como medio idóneo la exposición general de los datos, evitando su publicación en una red, aunque se privada y aún en mayor medida su inclusión en un archivo informático, aun cuando no pudiera ser manipulado. Esta sería la fórmula con la que se garantizaría de mejor manera el equilibrio de derecho al que se refiere el artículo 6.1
f)del Reglamento General de Protección de Datos.” (El subrayado es nuestro) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/15 3.3. De las consideraciones precedentes resulta que la reclamada, a través de la Gerencia, llevó a cabo un tratamiento de los datos de carácter personal de los empleados, concretado en comunicar a la Junta de Personal un listado con la productividad asignada a cada uno de ellos, listado en el que estaban perfectamente identificados, sin estar habilitada para ese tratamiento. La única circunstancia, de las previstas en el artículo 6.1 del RGPD, que podría haber amparado la licitud de este tratamiento era, como anteriormente se indicó, el consentimiento de los afectados. El artículo 6.1. del RGPD, relativo a las bases jurídicas del tratamiento, se refiere en el apartado
a)al “consentimiento del interesado para el tratamiento de sus datos personales para uno o varios fines específicos”. Por otra parte, el RGPD exige que el consentimiento sea expreso (artículo 4.11). Y no consta en el procedimiento que la reclamada hubiera recabado y obtenido el consentimiento de cada uno de los empleados para tratar sus datos con la finalidad específica de comunicarlos a la Junta de Personal e informarles de la productividad asignada a cada uno de ellos. Así pues, el tratamiento que la reclamada efectuó, que es objeto de valoración en el presente procedimiento, vulneró el artículo 6.1.a, del RGPD en relación con el artículo 5.1.a del RGPD. La infracción de la que se responsabiliza a la reclamada está tipificada en el artículo 83.5 del RGPD, precepto que establece: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 Eur como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” A efectos de determinar el plazo de prescripción de las infracciones la LOPGDD califica de infracción muy grave -artículo 72.1.b)- “El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.” IV Los poderes correctivos que el RGPD atribuye a la AEPD como autoridad de control se determinan en el artículo 58.2, precepto que dispone: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
a)sancionar a todo responsable o encargado del tratamiento con una advertencia cuando las operaciones de tratamiento previstas puedan infringir lo dispuesto en el presente Reglamento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/15
b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; c)ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento; d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;
e)ordenar al responsable del tratamiento que comunique al interesado las violaciones de la seguridad de los datos personales;
f)imponer una limitación temporal o definitiva del tratamiento, incluida su prohibición;
g)ordenar la rectificación o supresión de datos personales o la limitación de tratamiento con arreglo a los artículos 16, 17 y 18 y la notificación de dichas medidas a los destinatarios a quienes se hayan comunicado datos personales con arreglo a al artículo 17, apartado 2, y al artículo 19;
h)retirar una certificación u ordenar al organismo de certificación que retire una certificación emitida con arreglo a los artículos 42 y 43, u ordenar al organismo de certificación que no se emita una certificación si no se cumplen o dejan de cumplirse los requisitos para la certificación; i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;
j)ordenar la suspensión de los flujos de datos hacia un destinatario situado en un tercer país o hacia una organización internacional.” A su vez, el artículo 83.7 del RGPD indica que “Sin perjuicio de los poderes correctivos de las autoridades de control a tenor del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro”. De acuerdo con la habilitación que esa disposición otorga a los Estados miembros, la LOPDGDD ha optado, para el caso de que las autoridades u organismos públicos que en ella se relacionan -entre las que está incluida quien tiene en este expediente sancionador la condición de reclamada- fueran responsables de alguno de los tratamientos descritos en sus artículos 72 a 74, a adoptar la medida correctiva de apercibimiento prevista en la letra
b)del artículo 58.2. del RGPD y cualesquiera otras medidas que procedan para que el infractor cese en su conducta o se corrijan los efectos de la infracción que hubiera cometido. El artículo 77 de la LOPDGDD, bajo la rúbrica “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” dice así: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
a)Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos.
b)Los órganos jurisdiccionales.
c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/15
d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas.
e)Las autoridades administrativas independientes.
f)El Banco de España.
g)Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público.
h)Las fundaciones del sector público.
i)Las Universidades Públicas.
j)Los consorcios.
k)Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso.” (El subrayado es nuestro) Habiendo quedado acreditado en el procedimiento que la reclamada es responsable de una infracción del artículo 6.1.a del RGPD, tipificada en el artículo 83.5.
a)del RPGD, calificada a efectos de prescripción de infracción muy grave en el artículo 72.1.
b)de la LOPDGDD, como medida correctiva, en aplicación de lo establecido en los artículos 83.7 del RGPD y 77 de la LOPDGDD y de conformidad con el artículo 58.2.b RGPD, se acuerda dirigirle un apercibimiento. Por lo tanto, a tenor de lo anteriormente expuesto, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la CONSEJERÍA DE SANIDAD DE LA JUNTA DE CASTILLA Y LEÓN, con NIF S4711001J, ha vulnerado el artículo artículo 6.1 del RGPD, infracción que se encuentra tipificada en el artículo 83.5.
a)del RGPD. SEGUNDO: DIRIGIR a la CONSEJERÍA DE SANIDAD DE LA JUNTA DE CASTILLA Y LEÓN, con NIF S4711001J, un APERCIBIMIENTO, de acuerdo con lo previsto en los artículos 58.2.
b)y 83.7 del RGPD y 77 de la LOPDGDD. TERCERO: NOTIFICAR la presente resolución a la CONSEJERÍA DE SANIDAD DE LA JUNTA DE CASTILLA Y LEÓN. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, según lo previsto en el artículo 77.5 de la LOPDGDD. QUINTO: De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/15 Contra esta resolución, que pone fin a la vía administrativa, según el artículo 48.6 de la LOPDGDD y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o, directamente, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el artículo 90.3
a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-131120 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.