PS-00214-2022 | Europaius

1/42  Expediente N.º: PS/00214/2022 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 5 de mayo de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a THOMAS INTERNATIONAL SYSTEMS, S.A. (en adelante la parte reclamada). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 14 de noviembre de 2022, se emitió la propuesta de resolución que a continuación se transcribe: << Expediente N.º: PS/00214/2022 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 26/02/2021, tuvo entrada en esta Agencia Española de Protección de Datos un escrito presentado por A.A.A. (en adelante, la parte reclamante), por el que interpone reclamación contra la entidad Agroxarxa, S.L., con NIF B25269358 (en adelante, Agroxarxa), por el tratamiento de datos personales de categorías especiales. La parte reclamante manifiesta que (…) debió realizar unos psicotécnicos, accesibles a través de un enlace de una entidad especializada en estos servicios. Según afirma, en uno de los formularios empleados para llevar a cabo el proceso le solicitaron datos sensibles (discapacidad y etnia), desconociéndose el uso que haría la empresa de estos datos. Añade que la cumplimentación de esos formularios le fue requerida por el departamento de Recursos Humanos de Agroxarxa. Aporta un volcado de pantalla del cuestionario en el que se solicitan los datos controvertidos, disponible en la web “***URL.1” (en lo sucesivo “Cuestionario de Investigación de Thomas” o “Cuestionario”), cuyo contenido consta reseñado en el Hecho Probado Segundo. En su vértice superior izquierdo figura el logo de la entidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/42 “Thomas International Ltd.”, a la que pertenece dicho formulario según la indicación insertada en el mismo (“Copyright”). En la pantalla aportada por la parte reclamante aparecen seleccionadas las opciones que se detallan en el Hecho Probado Sexto. SEGUNDO: Durante la fase de admisión a trámite de la reclamación reseñada, por la Subdirección General de Inspección de Datos se accedió a la Política de Privacidad de la entidad “Thomas International Ltd.”, fechada el 03/07/2019 y en lengua inglesa (el detalle del contenido de este documento, en lo que interesa al presente procedimiento, consta reseñado en el Hecho Probado Cuarto). TERCERO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), la reclamación formulada fue trasladada a la entidad Agroxarxa para que procediese a su análisis e informase a esta Agencia, en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El plazo concedido para ello a Agroxarxa transcurrió sin que en esta Agencia se recibiera escrito alguno de respuesta. CUARTO: Con fecha 29/06/2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. QUINTO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por la parte reclamante, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. Por los Servicios de Inspección de la AEPD se realizaron las actuaciones siguientes: 1. Los Servicios de Inspección de esta Agencia remitieron a Agroxarxa un requerimiento de información, que fue atendido por dicha entidad mediante escrito de 21/12/2021, en el que informa lo siguiente: . (…). . En referencia al proceso de selección de personal, advierte que no solicita ni requiere a las personas candidatas la inclusión en los currículums de datos personales concernientes a raza, etnia o discapacidad. Explica el proceso que sigue para seleccionar las personas finalistas, a las que se les solicita que complementen una “encuesta de comportamiento”, con el objetivo de conocer si la persona candidata se ajusta -en cuanto a habilidades y competencias- a las condiciones requeridas para el puesto de trabajo, la cual se realiza a través de la plataforma propiedad de la compañía “Thomas International Ltd”, quien informa de sus términos y condiciones, política de privacidad, cookies y demás requisitos legales en el correo que reciben los candidatos para completar la encuesta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/42 Una vez las personas candidatas realizan la encuesta en la plataforma de “Thomas International Ltd.”, y en base al análisis del resultado que emite, se realiza una entrevista final para escoger a la persona que se contratará. . En referencia a la información facilitada a las personas candidatas. La compañía “Thomas International Ltd.”, al remitir el correo para participar en la encuesta remite el enlace a sus normas donde se puede ver en detalle el tratamiento de datos. Agroxarxa incorpora uno de estos correos como ejemplo, cuyo texto es el siguiente: “Estimado/a… …(nombre), de Agroxarxa, SLU le ha invitado a completar una breve evaluación de comportamiento. Pulse en el siguiente enlace o cópielo y péguelo en su navegador para comenzar la evaluación https://open.***URL.1/Login/Login... Existe la posibilidad de que se le pida que introduzca los siguientes datos de usuario y contraseña: Usuario… Contraseña… Visite el área de candidatos de Thomas https://www.***URL.1/es-es/candidatos.aspx para saber más de esta evaluación. Saludos … (nombre) Agroxarxa, SLU … (teléfono) rrhh_desenvolupament@Agroxarxa.com Vea nuestra política de privacidad www.***URL.1/es-es/Privacidadycookies.aspx” . Según Agroxarxa, con ello queda claro que “la información de la que disponen los candidatos y el tratamiento de los datos que informan a la compañía, que no a Agroxarxa, SLU”. . En referencia al contrato suscrito con “Thomas Internacional Ltd.”. Los responsables de la entidad aportan copia del contrato de prestación de servicios y de encargo de tratamiento de datos (“Acuerdo de tratamiento de datos”) suscrito en fecha 30/05/2018 con la entidad THOMAS INTERNACIONAL SYSTEMS, S.A. (en lo sucesivo THOMAS INTERNACIONAL SYSTEMS). El contenido de este “Acuerdo de tratamiento de datos”, en lo que interesa al presente procedimiento, consta detallado en el Hecho Probado Tercero. . En referencia al motivo por el que “Thomas Internacional Ltd.” recaba datos de etnia y discapacidad. Según indican los representantes de Agroxarxa no se recaban de forma expresa estos datos para la entidad. “Thomas Internacional Ltd.” utiliza el mismo “Cuestionario” para todos sus clientes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/42 Además, los datos solicitados en el “Cuestionario” en cuanto a “discapacidad” y “etnia” son voluntarios, la persona encuestada puede optar por la opción “prefiero no contestar”. Aportan la imagen de dicho “Cuestionario”, cuyo contenido coincide con el descrito en el Hecho Probado Segundo. En esta imagen constan las respuestas siguientes: . Sexo: “Mujer”. . Año de nacimiento: “2017”. . Discapacidad: “Prefiero no contestar”. . Etnia: “Prefiero no contestar”. “Thomas International Ltd.” solo dispone de la información que las personas candidatas aportan de forma voluntaria, sin que sea obligatorio y necesario para Agroxarxa disponer de los datos en cuestión. Agroxarxa en ningún momento ha solicitado que se recabe esta información para ningún proceso de selección. Por lo tanto, “Thomas International Ltd.” sólo dispone de la información referente a etnia y discapacidad cuando el candidato de forma expresa, y de forma totalmente voluntaria e informada, la facilita, sin que sea facilitada esta información a Agroxarxa, a la que sólo se remite el correspondiente informe de perfil de competencias y habilidades, pero nunca las respuestas. . En referencia a los tratamientos que realiza Agroxarxa con los datos relativos a etnia y discapacidad y período de conservación. La aplicación de “Thomas Internacional Ltd.” no se ha diseñado de forma expresa para procesos de selección de Agroxarxa, quien (como el resto de los clientes) no participa de la elaboración de los formularios utilizados por dicha compañía. Es por ello que Agroxarxa no recaba, ni trata ni conserva datos relativos a etnia y discapacidad. . En referencia a los datos que figuran en Agroxarxa relativos a la parte reclamante. No dispone de datos relativos a etnia o discapacidad de la parte reclamante. (…). Con su respuesta, Agroxarxa aportó copia de dos informes como ejemplo de la información sobre los candidatos que “Thomas International Ltd.” facilita a la Agroxarxa:

a)El primero de ellos contiene unos gráficos y puntuaciones relativas a “Máscara de trabajo”, “Comportamiento bajo presión” y “autoimagen”.
b)En el segundo se describe el “Perfil APP” de la persona valorada en relación con la “Autoimagen”, “Automotivación”, “Énfasis laboral”, “Palabras descriptivas”, “Máscara” (“cómo lo ven otros”), “Comportamiento bajo presión” y “Comentarios generales”. 2. Con fecha 30/12/2021, los Servicios de Inspección de esta Agencia remitieron a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/42 Agroxarxa un nuevo requerimiento de información, que fue respondido como sigue: . En el proceso de selección, Agroxarxa en ningún momento cede datos a la entidad “Thomas Internacional Ltd.”, sino que contrata a esta empresa para que efectúe un análisis de habilidades y competencias. Los únicos datos que comunica Agroxarxa a “Thomas Internacional Ltd.” son el nombre y apellidos y el correo electrónico de contacto, utilizado para facilitar el acceso a la plataforma. . Es su interés proceder a una reevaluación del proceso y del protocolo de selección de personas con el objetivo de simplificar y mejorar el proceso, así como facilitar a los candidatos una mayor y mejor información. 3. (…): Su actividad es proporcionar herramientas de psicometría para que las empresas las apliquen en sus procesos de evaluación y reclutamiento. En fecha 30/05/2018, se firmó un “Acuerdo de tratamiento de datos” con la mercantil Agroxarxa (aporta copia). (…). En el contrato firmado entre las partes (Anexo 1), se contempla que “Thomas International” procesará, por orden de Agroxarxa, la información de los datos personales de candidatos seleccionados por ésta y serán almacenados y controlados por el responsable de los datos, Agroxarxa, en el hub de “Thomas International” que previamente ha sido contratado. Agroxarxa dispone de herramientas para el mantenimiento de los datos personales resultantes de los procesos de evaluación y durante el tiempo que Agroxarxa considere oportuno. En el apartado 2.3 del Contrato se especifica que Agroxarxa es quien controla la información de los datos personales introducidos en los sistemas de evaluación de “Thomas International Ltd.” mediante las herramientas proporcionadas por ésta, y que serán procesados los datos de los candidatos (resultados de las evaluaciones) por indicación de Agroxarxa, teniendo ésta el único acceso a los resultados procesados por los sistemas de “Thomas International”. En el apartado 2.4 se indica que Agroxarxa es el responsable de los datos personales que se introducen en los procesos de evaluación de “Thomas International” para que sean procesados y se obtengan resultados de evaluación que son analizados y recibidos por Agroxarxa para el desarrollo de su actividad empresarial. Igualmente, Agroxarxa dispone de herramientas, previamente contratadas, para el acceso único y exclusivo al hub de “Thomas International” (donde se almacenan los resultados de las evaluaciones) para analizar, visualizar, eliminar, mantener, etc. la información procesada por “Thomas International” por indicación de Agroxarxa. Según el apartado 3.1.1, los sistemas de “Thomas International” procesan los datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/42 personales de los candidatos de Agroxarxa por indicación y siguiendo las instrucciones proporcionadas por ésta. Y el apartado 3.1.2 estipula que “Thomas International” actúa según las instrucciones proporcionadas por el cliente, Agroxarxa. En el apartado 3.2 se contempla que deberán cumplir con prontitud las instrucciones proporcionadas por Agroxarxa. En el apartado 4 Agroxarxa autoriza a “Thomas International Ltd.” a enviar un formulario para los propósitos de investigación permitidos, para que sea rellenado de forma voluntaria y anónima por las personas que accedan a los procedimientos autorizados y contratados por Agroxarxa siempre y cuando no se incumplan los tres apartados 4.1; 4.2 y 4.3. Termina THOMAS INTERNACIONAL SYSTEMS destacando que, según el acuerdo firmado entre las partes, “Thomas International” no está obligada a facilitar información a los candidatos que van a ser evaluados para Agroxarxa, que es la propietaria de la información relativa a los mismos, y “Thomas International Ltd.” solamente procesa la información que es proporcionada por Agroxarxa y a petición de ésta. “Thomas International Ltd.” desconoce los datos personales de los candidatos que van a ser evaluados según las necesidades que determina Agroxarxa en sus políticas de evaluación de candidatos para determinados puestos de trabajo. En relación con los datos de origen étnico y discapacidad indica que se recababan de forma voluntaria y optativa, con la opción de no responder. Ninguna información recogida a través de esta encuesta opcional forma parte de la evaluación psicométrica y no afecta a los resultados obtenidos por el candidato en su evaluación. Toda la información recogida por la mencionada encuesta optativa se usaría por el equipo de “Thomas International Sciences” para asegurar que, sus herramientas de evaluación psicométrica se diseñan de tal forma que no discriminen a las personas evaluadas. THOMAS INTERNACIONAL SYSTEMS aporta copia del formulario “autorizado por parte de Agroxarxa para ser enviado al personal que accede a los sistemas de “Thomas International Ltd.” según los supuestos del apartado 4” (“el Cuestionario”), cuyo contenido coincide con el reseñado en el Hecho Probado Segundo, y copia de la siguiente información previa que facilita. Después del texto informativo se incluyen los botones “No estoy de acuerdo” y “Siguiente”. SEXTO: Con fecha 25/04/2022, por la Subdirección General de Inspección de Datos se accede a la información disponible sobre la entidad THOMAS INTERNACIONAL SYSTEMS en “Axesor”. (…). SÉPTIMO: Con fecha 5 de mayo de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a THOMAS INTERNACIONAL SYSTEMS, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo 9 del RGPD, tipificada en el artículo 83.5.
a)del citado Reglamento; y calificada como muy grave a efectos de prescripción en el artículo 72.1.
e)de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/42 En el acuerdo de apertura se determinó que la sanción que pudiera corresponder, atendidas las evidencias existentes en el momento de la apertura y sin perjuicio de lo que resulte de la instrucción, ascendería a un total de 50.000 euros. Asimismo, se advertía que las infracciones imputadas, de confirmarse, podrán conllevar la imposición de medidas, según el citado artículo 58.2
d)del RGPD. OCTAVO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, THOMAS INTERNACIONAL SYSTEMS presentó escrito de alegaciones en el que solicita el archivo del procedimiento o, subsidiariamente, que se dirija un apercibimiento, en base a las consideraciones siguientes: 1. De las actuaciones de THOMAS INTERNACIONAL SYSTEMS. La entidad THOMAS INTERNATIONAL SYSTEMS es una compañía española que presta servicios a diferentes entidades en España consistentes en facilitar el uso de la plataforma especializada en la evaluación, formación y consultoría de usuarios de dichos clientes “www.***URL.1”. Las entidades clientes aceden a un área restringida en la plataforma mediante usuario y contraseña y se ocupan de gestionar a los candidatos, seleccionando a aquellos que realizaron las evaluaciones, y obteniendo los informes finales realizados sobre dichas valuaciones. En base a lo expuesto anteriormente, concluye que THOMAS INTERNATIONAL SYSTEMS no ha realizado ningún tratamiento de datos personales de la parte reclamante. 2. De las actuaciones de “Thomas”. El “grupo Thomas International”, como grupo, y concretamente la compañía matriz “Thomas International Limited LTD”, presta servicios de psicometría, evaluación, formación y/o auditoría a aquellos clientes que lo contratan a través de la plataforma www.***URL.1. Dicha plataforma ofrece dichos servicios de evaluaciones de psicometría, cumpliendo la totalidad de la legislación vigente, los más estrictos estándares internacionales de psicometría, así como las más estrictas medidas de seguridad técnicas, organizativas y jurídicas en general, y especialmente en materia de protección de datos y psicometría. Precisamente, una de las medidas adoptadas para garantizar el cumplimiento de los estándares y normas internacionales de psicometría es el “Cuestionario de investigación Thomas” objeto del presente procedimiento, que se realiza de forma totalmente independiente a las evaluaciones de los usuarios: sólo una vez que finalizan la evaluación y se cierra de forma irreversible, se le ofrece al usuario realizar el “Cuestionario”. El usuario, puede optar por realizarlo o no, sin que tenga ningún condicionamiento ni consecuencia su cumplimentación o no, ni sus respuestas, que no son compartidas con las entidades clientes ni con terceros. La única finalidad de este “Cuestionario” es poder cumplir con los estándares internacionales de psicometría exigidos por las normativas y protocolos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/42 internacionales; así como poder garantizar la fiabilidad de las evaluaciones y cuestionarios demoscópicos que realiza “Thomas International” a través de su plataforma. Sobre este cuestionario se informa a los clientes a través del contrato de encargo del tratamiento (cláusula 4ª). También a los usuarios que, antes de su cumplimentación acceden a un aviso en el que se les indica que “Thomas International” es el responsable del mismo, que tiene finalidad de investigación científica, de la independencia y condicionalidad de realizarlo o no de toda evaluación que hubieran realizado anteriormente, de la naturaleza anónima y confidencial en el tratamiento de la información y que no se compartirá información alguna con la entidad o persona que le hubiera invitado a realizar la evaluación (en ningún caso los datos recabados mediante el “Cuestionario” son conocidos por los clientes de la plataforma ni otros terceros y ni siquiera por aquellos partners o trabajadores del Grupo). Sobre esta cuestión de la transparencia en el tratamiento de los datos que conlleva el “Cuestionario”, THOMAS INTERNACIONAL SYSTEMS manifiesta que se ha encargado a nuevos profesionales y a un nuevo DPD para que se perfeccione el cumplimiento de la normativa de protección de datos. Aporta copia de la nueva cláusula informativa, que consta reproducida en el Hecho Probado Segundo. 3. De la legitimidad del tratamiento del cuestionario. El tratamiento de datos personales que se realiza en el “Cuestionario” objeto del presente expediente se realiza de forma legítima y conforme a lo establecido en el artículo 9.2
j)del RGPD, en relación con el artículo 89.1 del mismo Reglamento, y demás normativa aplicable al sector al que se dedica la entidad. La “compañía Internacional”, con anterioridad a la realización del “Cuestionario”, ha tomado todas las medidas técnicas, organizativas y jurídicas necesarias para:
a)Realizar un tratamiento de datos de carácter sensible que obedece exclusivamente a la finalidad de investigación científica y para cumplir con los requisitos exigidos en los estándares y normas internacionales de psicometría, para poder garantizar la fiabilidad requerida en sus evaluaciones (limitación de la finalidad), sin que la entidad obtenga beneficio alguna de la realización del cuestionario.
b)Tratar, en todo caso, los datos mínimos posible para cumplir dichos fines y necesidades. El “Cuestionario de investigación Thomas” se realiza por las mínimas personas necesarias, durante el tiempo estrictamente necesario y se tratan los datos estrictamente necesarios para el cumplimiento del fin indicado, cumpliéndose escrupulosamente el principio de minimización de los datos y anonimización de los datos identificativos. Aplica procesos robustos de seudo anonimización y amonimización a sus tratamientos.
c)Aplicar todas las medidas técnicas, organizativas y jurídicas necesarias para un correcto tratamiento de dicha información; estableciendo un robusto sistema de minimización de la información, acceso restringido al personal profesional colegiado de psicólogos, que han firmado debidamente los acuerdos de normas de uso de la información, acuerdos de confidencialidad y códigos deontológicos necesarios; y aplicando igualmente un sistema de anonimización de la información obtenida, previamente testado y monitorizado continuamente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/42
d)Aplicando igualmente robustos sistemas de seguridad, encriptando el “Cuestionario”, aplicando las más altas medidas de seguridad que garanticen la confidencialidad, integridad y disponibilidad de la información. Una vez cumplimentado, el formulario es almacenado en servidores encriptados de la entidad, con las más altas medidas de seguridad y de forma anonimizada en tres tablas. El sistema ha obtenido los Certificados ISO 9001.
e)Analizar y evaluar previamente todos los posibles riesgo e incidencias, con adopción de las medidas necesarias para evidenciar y/o mitigar toda incidencia, y cumpliendo todas las medidas y/u obligaciones en materia de protección de datos, de forma concreta los principios establecidos en el artículo 5 del RGPD.
f)Respetar el principio de exactitud de los datos: la necesidad de exactitud en las evaluaciones que presta “Thomas” a través de su plataforma hace necesaria la existencia del “Cuestionario de investigación Thomas”. Igualmente, se han establecido todas las medidas necesarias para garantizar la exactitud en el proceso de recogida, almacenamiento y conservación de los datos tratados.
g)Conservar los datos estrictamente para la finalidad descrita. Al anonimizarse los datos y disgregarse de forma irreversible los datos identificativos de las respuestas dadas, el plazo de conservación mínima está completamente garantizado, al ser destruidos de forma segura e irreversible los datos personales de forma inmediata en el sistema de las tres tablas. Por tanto, únicamente se tratan datos no personales que cumplen la finalidad de investigación científica y cumplimiento de los estándares científicos exigidos. En relación con la licitud y lealtad del tratamiento de datos del cuestionario señala lo siguiente: Los datos requeridos a través del “Cuestionario”, entre los que se encuentran datos de carácter sensible (como son la etnia y posibles discapacidades), resultan necesarios en cumplimiento de lo requerido en los estándares y normativas internacionales de psicometría; de tal forma que las evaluaciones realizadas en la plataforma midan con rigor científico lo que dicen que hacen, lo hacen con precisión y lo hacen de forma justa. Y, al mismo tiempo se garantice que cumplen con el sector demográfico correcto y que no se realiza ninguna discriminación, tal y como requieren los estándares y normas internacionales que se citan a continuación: . El “Cuestionario” es validado de acuerdo con las Directrices de la Federación Europea de Asociaciones de Psicólogos (FEAP) o EFPA en sus siglas en inglés (European Federation Pshychologists Associations). La EFPA es una organización europea de la que forman parte la mayoría de las asociaciones europeas de psicología. Su modelo de revisión de pruebas se utiliza en toda Europa, y sirve como herramienta para evaluar las evaluaciones psicométricas desde dos puntos de vista: por un lado, para comprobar si un grupo o muestra es representativo de una población más amplia y calcular la posición relativa en esa muestra de los examinados; y por otro lado, para asegurar la equidad de la prueba. . Comisión Internacional de Pruebas (ITC), Directrices sobre el uso de pruebas, que también hacen referencia a la equidad de las pruebas, si son justas para su uso con diversos grupos; y a la necesidad de controlar los cambios en la población mediante la información demográfica que proporcionan las personas que completan las pruebas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/42 . Código de conducta de la Asociación de Psicología Empresarial ***URL.2. Añade que la información recabada es necesaria, según el mencionado formulado demoscópico (CIT o ITC en sus siglas en inglés), ya que permite asegurar, mediante estudios estadísticos anonimizados, que sus herramientas de evaluación psicométrica (personalidad, inteligencia, aptitudes, inteligencia emocional, etc.) no discriminan a las personas evaluadas, precisamente por razones de etnia o discapacidad, entre otras circunstancias. Por tanto, entiende que “Thomas International”, como diseñadora de evaluaciones y cuestionarios, queda legitimada y amparada en sus objetivos por el art.89.1 del RGPD, que acepta la recopilación de datos con fines de investigación y estadísticos globales, con la garantía de que estos datos estén anonimizados y resulte imposible que puedan ser asociados a un candidato concreto, mediante el mencionado CIT. La pertinencia de la actividad de “Thomas International” y su encuesta CIT se basa en las exigencias de garantizar buenas prácticas en el diseño, desarrollo y seguimiento de pruebas psicométricas, de acuerdo a los estándares definidos por la BPS (British Psychological Society), la EFPA (European Federation Pshychologists Associations) o el COP (Colegio Oficial de Psicólogos), que velan por las buenas prácticas en psicometría, certifican la validez y fiabilidad de un test y exigen que los estándares de calidad se mantengan actualizados mediante estudios macro estadísticos paralelos a lo largo de la vida técnica de estas pruebas, recurriendo a metaanálisis estadísticos obligadamente anonimizados, globales y longitudinales. Recientemente ha surgido una nueva norma de aplicación en este ámbito, ISO.30414 Gestión de Recursos Humanos, que redunda en la exigencia de la realización de un uso adecuado de las pruebas psicométricas, así como en el requisito del poder discriminador de las mismas. Además, añade que “Thomas International” realizó los análisis y evaluaciones de impacto necesarias, habiendo valorado la proporcionalidad del tratamiento de datos y necesidad de los mismos para la investigación científica, antes de confeccionar las evaluaciones de la plataforma. Asimismo, tanto las evaluaciones como los cuestionarios han sido diseñados exclusivamente por prestigiosos profesionales de psicología colegiados que desarrollan su actividad en “Thomas International”, que son los que tratan en exclusiva los datos del cuestionario. Estos profesionales están acogidos a acuerdos de confidencialidad y al estricto cumplimiento de los estándares y normativas internacionales de psicometría. 4. Teniendo en cuenta que (…) sin discriminación alguna, no sufrió infracción o daño (…), sin haber expresado objeción alguna del tratamiento del “Cuestionario de investigación Thomas”; que Agroxarxa no conoció si el interesado realizó o no dicho “Cuestionario” ni qué contestó; que “Thomas International” no ha obtenido ningún beneficio ni causado perjuicio; y no ha tenido reclamación ni incidencia alguna; entiende THOMAS INTERNACIONAL SYSTEMS que no existe infracción y/o incumplimiento en materia de protección de datos. 5. De la inexistencia de ilicitud en el tratamiento de información: entiende, asimismo, THOMAS INTERNACIONAL SYSTEMS que se realiza un tratamiento de datos personales de carácter sensible conforme al artículo 9.2
j)del RGPD; y una vez se han C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/42 anonimizado los datos; por tanto, no se puede considerar que hay un tratamiento de datos personales. 6. De la falta de intencionalidad y/o culpa de “Thomas International”: para que exista una infracción sancionable, debe concurrir no solo un hecho antijurídicos sino una intencionalidad en la comisión u omisión que la provoque, tal y como se recoge en las Resoluciones y Sentencias de la Audiencia Nacional de 25/02/2010, (la cual establece que no es admisible en derecho administrativo sancionador de la responsabilidad objetiva, que está proscrita, después de la STC 76/1999; Sentencia de la Audiencia Nacional 29/04/2010), 29/04/2020, 19/10/2010 y 10/02/2011. “Thomas International” ha tenido una actitud proactiva y cumplidora de sus obligaciones en materia de protección de datos en todos los tratamientos que realiza, aplicando los más altos estándares de seguridad en sus tratamientos. 7. De la inexistencia de gravedad de “Thomas International”: en el hipotético caso que se considere que “Thomas International” no ha informado correctamente, de forma subsidiaria, la actitud de “Thomas International” no puede ser sancionada con una infracción grave, ya que todas las indicadas circunstancias que se dan en el presente caso y que han quedado acreditadas, conllevan a determinar la total inexistencia de infracción grave. Además, a raíz de lo conocido en el presente caso, ha tomado medidas adicionales para evitar cualquier incidencia o infracción, tales como nombrar a un nuevo Delegado de Protección de Datos de contrastada experiencia y conocimientos (ANEXO Nº 15); iniciar un nuevo análisis de riesgos y evaluación de impacto sobre los tratamientos de datos personales con el fin de identificar posibles riesgos y aplicar las medidas necesarias para evitar y/o mitigar sus daños; redactar cláusulas informativas nuevas sobre el tratamiento que se realiza en el “Cuestionario de investigación Thomas”; reforzar la información y formación de todos los agentes implicados en los tratamientos de datos personales, como los clientes, personal psicológico colegiado y personal tecnológico, personas que aceptan realizar las evaluaciones y cuestionarios. Por tanto, considera que debe tenerse en cuenta lo establecido en el Considerando 148 del RGPD, según se recoge en las resoluciones de la AEPD siguientes:
a)En la Resolución dictada en el procedimiento E/00660/2020, relativo a una infracción muy grave por tratamiento de datos ilícito, se archivan las actuaciones por la adecuación a la normativa llevada a cabo antes de la presentación de la reclamación ante la AEPD.
b)En los procedimientos señalados con los números PS/00077/2021 y PS/00416/2020, relativos a infracciones graves por brechas de seguridad de la información, se sanciona con apercibimiento por las medidas adoptadas para resolver el problema y por la suspensión de la web implicada en los hechos, que fue migrada a otro servidor, adoptándose medidas para evitar hechos similares a los que motivaron la reclamación.
c)En las actuaciones seguidas con el número E/05039/2018, el procedimiento sancionador se transforma en archivo atendiendo a las medidas adoptadas para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/42 solucionar el problema y por la escasa relevancia de las deficiencias.
d)En el caso de los procedimientos PS/00040/2021, PS/00041/2021, PS/00067/2021, PS/00071/2021, PS/00240/2020, PS/00366/2020, PS/00285/2020, PS/00311/2020, PS/00355/2020, PS/00371/2020, PS/00381/2020, PS/00399/2020, PS/00414/2020, PS/00441/2020, PS/00453/2020, PS/00454/2020, PS/00455/2020, PS/00457/2020 y PS/00490/2020, el procedimiento sancionador se transforma en apercibimiento en base a fundamentos como los que se expresan a continuación: . Se constata que la parte reclamada actualizó la información. . Se elabora la Política de Privacidad después de la reclamación. . El consentimiento es expreso porque el tratamiento de los datos está basado en el consentimiento que se otorga rellenando y enviando el formulario y al marcar la casilla aceptando el tratamiento de datos (PS/00040/2021). . La multa se considera desproporcionada para la parte reclamada, cuya actividad principal no está directamente vinculada al tratamiento de datos personales, y que no consta la comisión de ninguna infracción anterior en materia de protección de datos (PS/00041/2021 y otros). . Se atiende a lo dispuesto en el artículo 58.2 del RGPD (PS/00067/2021 y otros) . Ausencia de intencionalidad; adopción de medidas para que se cumpla con el RGPD; nombramiento de un DPD; no hay reincidencia; se han adoptado medidas adecuadas y razonables para evitar incidencias como la parte reclamada (PS/00071/2021). . Subsanación, una vez iniciado el expediente, de la deficiencia apreciada en el formulario existente en la web y aceptación de las condiciones de privacidad antes del envío de dicho formulario y habilitación de una casilla para consentir el envío de comunicaciones comerciales (PS/00311/2020). . No consta ninguna infracción anterior en materia de protección de datos. . Se modificaron convenientemente las políticas de privacidad. Finalmente, destaca que tiene una actitud proactiva; todo su personal está debidamente formado; su actividad no ha producido daños a los derechos de los interesados, que no ha recibido ninguna reclamación ni incidencia ni brecha de seguridad hasta la fecha; y que, al tener conocimiento del asunto, ha iniciado una revisión de sus protocolos, análisis y evaluaciones, y ha procedido a nombrar especialistas contrastados en la materia. Con sus alegaciones aporta la documentación siguiente: . Contrato suscrito con Agroxarxa. . Contrato de partner entre “Thomas IS” y “Thomas LTD”. . Explicación del proceso de anonimización y minimización en tres tablas que se realiza del “Cuestionario de investigación Thomas”. . Protocolos y política de seguridad aplicados, entre los que figura una versión de la Política de Privacidad de fecha 31/03/2020. . Directrices EFPA. . Directrices ICT. . Código de Conducta. . Resumen ejecutivo sobre las prácticas de Thomas International y el cumplimiento del RGPD. . Protocolo para la confección de test para Dislexia y Pruebas Ocupacionales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/42 . Código Deontológico. . Contrato de psicólogos. HECHOS PROBADOS PRIMERO: La entidad THOMAS INTERNACIONAL SYSTEMS presta servicios de evaluación y consultoría en procesos de selección de personal llevados a cabo por las entidades que contratan dichos servicios. La evaluación de los candidatos por parte de THOMAS INTERNACIONAL SYSTEMS requiere que estos cumplimenten unos test o encuestas de comportamiento accesibles a través de la web de dicha entidad, “***URL.1”, para, a partir de la información obtenida, valorar la idoneidad de la persona candidata al puesto de trabajo ofertado. La entidad que convoca el proceso de selección realiza una preselección de los candidatos que deberán ser evaluados por THOMAS INTERNACIONAL SYSTEMS. Estos candidatos finalistas reciben de esta última entidad un correo electrónico con las instrucciones para acceder a su plataforma, al “área de candidatos”, y poder realizar la encuesta. Se facilitan el nombre de usuario y la contraseña que deberá utilizar para el acceso y se incluye un enlace para comenzar la evaluación; y otros que conducen a la información disponible sobre el “área de candidatos” y a la Política de Privacidad disponible en la web “***URL.1”. Como resultado de la prestación del servicio, THOMAS INTERNACIONAL SYSTEMS aporta a las entidades clientes un informe o perfil sobre competencias y habilidades de la persona candidata. SEGUNDO: Una vez los candidatos finalizan la cumplimentación de los test necesarios para llevar a cabo la evaluación, THOMAS INTERNACIONAL SYSTEMS les solicita la cumplimentación de un nuevo cuestionario, que denomina “Cuestionario de Investigación de Thomas”, el cual incluye interrogantes relativos a sexo, año de nacimiento, discapacidad, etnia, idioma materno, nivel de estudios, estado laboral actual, sector en el que trabaja actualmente, función actual, nivel actual de mando, nivel de felicidad en el puesto (con escala del 1 al 7), calificación de su trabajo (con escala del 1 al 7), descripción de la discapacidad (campo de texto) y consideración sobre el liderazgo. Para responder cada cuestión, excepto para la descripción de la discapacidad, se muestra un desplegable con las opciones que el interesado puede seleccionar, incluida la opción “prefiero no contestar”. Con carácter previo a la cumplimentación de este “Cuestionario”, se ofrecía a los interesados la siguiente información en materia de protección de datos personales: “Gracias por completar el formulario. Se ha enviado una notificación a la persona que le invitó a realizar la evaluación. Por favor, contacte con él para más información sobre esta evaluación Thomas. Bienvenido/a al Cuestionario de Investigación de Thomas. En Thomas International, estamos comprometidos con la mejora continua de nuestras evaluaciones. Como parte de nuestra iniciativa de investigación y desarrollo, le pedimos que nos proporcione información para ayudarnos a mejorar nuestras evaluaciones. La información C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/42 recopilada se usará solo para propósitos de investigación y no se le facilitará a su empleador. Nuestros psicólogos se rigen por directrices éticas y toda la información que recopilemos será confidencial y solo se reportarán resultados globales. La participación es enteramente voluntaria y podrá optar por saltarse cualquier pregunta que no quiera contestar”. Después del texto informativo se incluyen los botones “No estoy de acuerdo” y “Siguiente”. La entidad THOMAS INTERNACIONAL SYSTEMS, con ocasión del trámite de alegaciones a la apertura del procedimiento, ha informado que la cláusula informativa anterior ha sido modificada, quedando como sigue: “Gracias por completar el formulario. Se ha enviado una notificación a la persona que le invitó a realizar la evaluación. Por favor, contacte con él para más información sobre esta evaluación Thomas. Bienvenido/a al Cuestionario de Investigación de Thomas. En Thomas International estamos comprometidos con la mejora continua de nuestras evaluaciones. Como parte de esto, Thomas International, como responsable del control de los datos, lleva a cabo regularmente investigaciones para garantizar que nuestras evaluaciones sean válidas, fiables y, sobre todo, justas. Esto nos permite asegurar que nos adherimos a las normas internacionales de mejores prácticas. Le agradeceríamos que nos ayudara en esta importante investigación rellenando el siguiente cuestionario. La cumplimentación del cuestionario es voluntaria e independiente de la persona que le ha pedido que realice la evaluación. En ningún caso se facilitará la información de este cuestionario a la persona que le invitó a realizar la evaluación mencionada. La información recogida en este cuestionario se utilizará únicamente con fines de investigación científica, será tratada únicamente por los psicólogos registrados de Thomas International y será tratada de forma anónima. Para ejercer sus derechos y/o para obtener más información, consulte nuestra política de privacidad (***URL.3), o póngase en contacto con nuestro Responsable de Protección de Datos en ***EMAIL.1.Nuestros psicólogos se rigen por directrices éticas y toda la información que recopilamos se mantendrá confidencial y solo se comunicarán los resultados agregados anonimizados. La participación es totalmente voluntaria y puede optar por omitir cualquier pregunta que no desee responder”. Después del texto informativo se incluyen los botones “No estoy de acuerdo” y “Siguiente”. TERCERO: Para formalizar la prestación de los servicios reseñados en el Hecho Probado Primero, la entidad ha dispuesto un formulario denominado “Acuerdo de tratamiento de datos” que suscribe con sus clientes. De las estipulaciones contenidas en este acuerdo, el cual se declara reproducido a efectos probatorios, cabe reseñar las siguientes: Antecedentes (...) (...) (…) (…) Obligaciones de Thomas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/42 (…): (…); (…); (…); (…) Investigación (…): (…); (…); (…). (...)”. CUARTO: La Política de Privacidad disponible en la web “***URL.1”, en su versión de fecha 03/07/2019, incluye la información siguiente: “1.3 ¿Actuamos siempre como responsables del tratamiento de datos? Si bien Thomas actúa a menudo como responsable del tratamiento de datos, en algunas de nuestras actividades también podemos actuar como encargado o subencargado del tratamiento de datos… Entre los ejemplos de casos en los que Thomas actúa como responsable del tratamiento de datos se incluyen, entre otros, los siguientes: (…) . Tratamiento de los datos personales de los candidatos con fines de investigación. . Tratamiento de los datos personales de los candidatos para crear una forma anonimizada de los datos personales… 2.5 ¿Utilizamos datos personales en nuestra investigación? Nos comprometemos a mejorar continuamente nuestras evaluaciones. Para ello, pedimos a los candidatos que nos faciliten información adicional, como la franja de edad, el nivel educativo, el origen étnico y cuestiones similares. El suministro de esta información es voluntario y no es necesario para completar una evaluación. Cuando tratamos cualquiera de estos datos personales para la investigación, lo hacemos como responsable del tratamiento de datos. Toda información personal que se nos facilite para investigación se utilizará exclusivamente con fines de investigación y no se revelará a terceros. Tanto durante como después de que nuestros psicólogos evalúen su información personal, la almacenaremos con seguridad y con la máxima confianza. Si compartimos nuestros resultados con terceros, solo se compartirán los resultados anónimos y agregados de los cuales no se puede identificar ningún individuo. 2.6 En caso de que seamos responsables del tratamiento de datos: ¿Qué fundamento jurídico tenemos para utilizar sus datos personales? (…) . usted ha dado su consentimiento para utilizar sus datos personales; . el uso que hacemos de sus datos personales redunda en nuestro legítimo interés como organización comercial; en estos casos, trataremos su información en todo momento de manera proporcionada y respetuosa con su derecho a la intimidad. También tendrá derecho a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/42 oponerse al tratamiento, tal como se explica en la sección 7; . el uso de sus datos personales es necesario para ejecutar un contrato o tomar medidas para celebrar un contrato con usted; o . nuestro uso de sus datos personales es necesario para cumplir una obligación legal o reglamentaria pertinente…” (Traducción no oficial). El contenido de los apartados transcritos es similar al incluido en la versión de la Política de Privacidad de fecha 31/03/2020, aportada a las actuaciones por THOMAS INTERNACIONAL SYSTEMS. QUINTO: Agroxarxa convocó un proceso de selección de personal y contrató los servicios de THOMAS INTERNACIONAL SYSTEMS para que realizara las evaluaciones de los candidatos preseleccionados por Agroxarxa. Con este motivo, ambas entidades suscribieron un contrato (“Acuerdo de tratamiento de datos”) en fecha 30/05/2018, en los términos señalados en el Hecho Probado Tercero. SEXTO: La parte reclamante participó en un proceso de selección de personal convocado por Agroxaxa indicado en el Hecho Probado Quinto y fue seleccionado como finalista para que fuese evaluado por THOMAS INTERNACIONAL SYSTEMS. Después de realizar las encuestas dispuestas para llevar a cabo esta evaluación a través de la web “***URL.1”, le fue solicitada la cumplimentación del “Cuestionario de Investigación de Thomas”, mediante el que la parte reclamada facilitó los datos siguientes: . Sexo: “XXXXXX”. . Año de nacimiento: “XXXX”. . Discapacidad: “XX”. . Etnia: “XXXXXXXXXXX”. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. El artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el RGPD, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. II La reclamación que ha motivado las presentes actuaciones cuestiona el tratamiento de datos personales relativos a etnia y discapacidad realizado por THOMAS INTERNACIONAL SYSTEMS durante el proceso de selección de candidatos a un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/42 puesto de trabajo ofertado por la entidad Agroxarxa, constituyendo esta cuestión el objeto único del presente procedimiento. Así, las conclusiones que deriven del procedimiento no pronunciamiento respecto de cuestiones ajenas a dicho objeto. suponen ningún III El proceso de selección de personal (…) comienza con la publicación, por esta entidad, de y con el siguiente examen del perfil de los candidatos que se han interesado por el puesto para seleccionar las personas finalistas, a las que se pide que completen una “encuesta de comportamiento”. Esta “encuesta de comportamiento” se realiza a través de la plataforma de la entidad THOMAS INTERNACIONAL SYSTEMS. Se trata de unas pruebas psicológicas que valoran la inteligencia, personalidad, inteligencia emocional y el potencial de los candidatos. THOMAS INTERNACIONAL SYSTEMS envía un correo al candidato con el acceso a su plataforma. En este correo advierte que el motivo es realizar una evaluación de comportamiento para Agroxarxa, le indica el enlace para acceder a la plataforma, así como el usuario y contraseña que debe emplear. Además, le indica los enlaces para acceder a la información contenida en el área de candidatos y la política de privacidad. Como resultado de esta actuación, THOMAS INTERNACIONAL SYSTEMS remite a Agroxarxa un informe sobre el perfil de competencias y habilidades de la persona candidata. El proceso de selección termina con una entrevista final que realiza Agroxarxa. Las tareas que THOMAS INTERNACIONAL SYSTEMS realiza en el marco de este proceso le fueron encargadas por Agroxarxa mediante contrato de prestación de servicios suscrito por ambas entidades. Dicho contrato incluye un “Acuerdo de tratamiento de datos”, formalizado en fecha 30/05/2018, el cual define el rol de THOMAS INTERNACIONAL SYSTEMS como encargada del tratamiento y señala que dicha entidad sigue las instrucciones de Agroxarxa, la cual interviene en calidad de responsable del tratamiento. Las figuras de “responsable del tratamiento” y “encargado del tratamiento” se definen en el artículo 4 del RGPD como sigue: . “Responsable del tratamiento o responsable: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. . “Encargado del tratamiento o encargado: la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/42 El artículo 24 del RGPD, referido a la “Responsabilidad del responsable del tratamiento”, establece lo siguiente: “1. Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario. 2. Cuando sean proporcionadas en relación con las actividades de tratamiento, entre las medidas mencionadas en el apartado 1 se incluirá la aplicación, por parte del responsable del tratamiento, de las oportunas políticas de protección de datos…”. El Informe 0064/2020 del Gabinete Jurídico de la AEPD ha expresado con rotundidad que “El RGPD ha supuesto un cambio de paradigma al abordar la regulación del derecho a la protección de datos personales, que pasa a fundamentarse en el principio de “accountability” o “responsabilidad proactiva” tal y como ha señalado reiteradamente la AEPD (Informe 17/2019, entre otros muchos) y se recoge en la Exposición de motivos de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD)”. Sigue diciendo el citado informe lo siguiente: “…los criterios sobre cómo atribuir los diferentes roles siguen siendo los mismos (apartado 11), reitera que se trata de conceptos funcionales, que tienen por objeto asignar responsabilidades de acuerdo con los roles reales de las partes (apartado 12), lo que implica que en la mayoría de los supuestos deba atenderse a las circunstancias del caso concreto (case by case) atendiendo a sus actividades reales en lugar de la designación formal de un actor como "responsable" o "encargado" (por ejemplo, en un contrato), así como de conceptos autónomos, cuya interpretación debe realizarse al amparo de la normativa europea sobre protección de datos personales (apartado 13), y teniendo en cuenta (apartado 24) que la necesidad de una evaluación fáctica también significa que el papel de un responsable del tratamiento no se deriva de la naturaleza de una entidad que está procesando datos sino de sus actividades concretas en un contexto específico…”. Los conceptos de responsable y encargado de tratamiento no son formales, sino funcionales y deben atender al caso concreto. El responsable del tratamiento lo es desde el momento que decide los fines y los medios del tratamiento, no perdiendo tal condición por el hecho de dejar cierto margen de actuación al encargado del tratamiento o por no tener acceso a las bases de datos del encargado. Así se expresa indubitadamente en las Directrices 07/2020 del Comité Europeo de Protección de Datos (CEPD) sobre los conceptos de responsable del tratamiento y encargado en el RGPD: “Un responsable del tratamiento es quien determina los propósitos y los medios del tratamiento, es decir, el porqué y el cómo del tratamiento. El responsable del tratamiento debe decidir sobre ambos propósitos y medios. Sin embargo, algunos aspectos más prácticos de la implementación ("medios no esenciales") se pueden dejar en manos del encargado del tratamiento. No es necesario que el responsable tenga realmente acceso a los datos que se están tratando para calificarse como responsable” (la traducción es nuestra). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/42 En el presente caso, consta que Agroxarxa es responsable de los tratamientos de datos personales que tienen causa en el proceso de selección de personal en el que participó la parte reclamante, toda vez que, conforme define el artículo 4.7 del RGPD, es la entidad que determina la finalidad y medios de los tratamientos realizados. En su condición de responsable del tratamiento está obligada a cumplir con lo dispuesto en el transcrito artículo 24 del RGPD y, en especial, lo relativo al control efectivo y continuado de las “medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento”, entre las que se encuentran las dispuestas en el artículo 28 del RGPD en relación con el encargado del tratamiento que actúe en nombre y por cuenta del responsable. Agroxarxa es responsable del tratamiento de los datos que tenga como finalidad resolver el proceso de selección incluso aunque no tenga acceso a dichos datos. En este sentido, en las Directrices 07/2020 del Comité Europeo de Protección de Datos (CEPD), sobre los conceptos de responsable del tratamiento y encargado en el RGPD, se indica que “42. No es necesario que el responsable del tratamiento tenga realmente acceso a los datos que se están procesando. Quien externalice una actividad de tratamiento y, al hacerlo, tenga una influencia determinante en la finalidad y los medios (esenciales) del tratamiento (por ejemplo, ajustando los parámetros de un servicio de tal manera que influya en cuyos datos personales serán tratados), debe ser considerado como responsable aunque nunca tendrá acceso real a los datos” (la traducción es nuestra). Por otra parte, la existencia de un encargado del tratamiento depende de una decisión adoptada por el responsable del tratamiento, que podrá decidir realizar por si mismo determinadas operaciones de tratamiento o contratar la totalidad o parte del tratamiento con un encargado. La esencia de la función del encargado el tratamiento es que los datos personales sean tratados en nombre y por cuenta del responsable del tratamiento. En la práctica, es el responsable el que determina la finalidad y los medios, al menos los esenciales, mientras que el encargado del tratamiento tiene la función de prestar servicios a los responsables del tratamiento. En otras palabras, “actuando en nombre y por cuenta del responsable del tratamiento” significa que el encargado del tratamiento está al servicio del interés del responsable del tratamiento en llevar a cabo una tarea específica y que, por tanto, sigue las instrucciones establecidas por éste, al menos en lo que se refiere a la finalidad y a los medios esenciales del tratamiento encomendado. El responsable del tratamiento es quien tiene la obligación de garantizar la aplicación de la normativa de protección de datos y la protección de los derechos de los interesados, así como ser capaz de demostrarlo (artículos 5.2, 24, 28 y 32 del RGPD). El control del cumplimiento de la legalidad se extiende durante todo el tratamiento, desde el principio hasta el final. El responsable del tratamiento debe actuar, en cualquier caso, de forma diligente, consciente, comprometida y activa. Ese mandato del legislador es independiente de que el tratamiento lo realice directamente el responsable del tratamiento o de que lo efectúe valiéndose de un encargado del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/42 Además, el tratamiento ejecutado materialmente por un encargado de tratamiento por cuenta del responsable del tratamiento pertenece a la esfera de actuación de éste último, de igual forma que si lo realizara directamente él mismo. El encargado de tratamiento, en el supuesto examinado, es una extension del responsable del tratamiento, y solo puede realizar tratamientos sobre las instrucciones documentadas del responsable, a menos que esté obligado a hacerlo por el Derecho de la Unión o de un Estado miembro, que no es el caso (artículo 29 del RGPD). Por tanto, el responsable del tratamiento debe establecer modalidades claras para dicha asistencia y dar instrucciones precisas al encargado del tratamiento sobre cómo cumplirlas de forma adecuada y documentarlo previamente a través de un contrato o bien en otro acuerdo (vinculante) y comprobar en todo momento del desarrollo del contrato su cumplimiento en la forma establecida en el mismo. Solo el encargado del tratamiento será plenamente responsable cuando sea enteramente responsable de los perjuicios ocasionados en cuanto a los derechos y libertades de los interesados afectados. Al establecer la responsabilidad del encargado del tratamiento en la comisión de infracciones al RGPD, su artículo 28.10 también atiende al criterio de la determinación de los fines y medios del tratamiento. De acuerdo con este artículo, si el encargado determina los fines y medios del tratamiento será considerado responsable del mismo: “10. Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado del tratamiento infringe el presente Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento”. En el presente caso, la correcta calificación jurídica con arreglo al RGPD de THOMAS INTERNACIONAL SYSTEMS es de encargada del tratamiento, toda vez que actúa en nombre y por cuenta de Agroxarxa. Sin embargo, las actuaciones han puesto de manifiesto que THOMAS INTERNACIONAL SYSTEMS realiza, en su propio beneficio, tratamiento de datos personales de los candidatos al puesto ofertado por Agroxarxa o, en general, por cualquier otro cliente. Respecto de estos tratamientos, THOMAS INTERNACIONAL SYSTEMS determina los medidos y los fines y ostenta la condición de responsable del tratamiento, según lo dispuesto en el citado artículo 28.10 del RGPD. Al realizar las encuestas de comportamiento encargadas por Agroxarxa, la entidad THOMAS INTERNACIONAL SYSTEMS incluye un “Cuestionario” para que sea cumplimentado por los aspirantes al puesto de trabajo mediante el que se solicita a los interesados datos personales relativos a sexo, año de nacimiento, discapacidad, etnia, idioma materno, nivel de estudios, estado laboral actual, sector en el que trabaja actualmente, función actual, nivel actual de mando, nivel de felicidad en el puesto (con escala del 1 al 7), calificación de su trabajo (con escala del 1 al 7), descripción de la discapacidad (campo de texto) y consideración sobre el liderazgo. Para responder cada cuestión, excepto para la descripción de la discapacidad, se muestra un desplegable con las opciones que el interesado puede seleccionar (en el “Cuestionario” concreto aportado por la parte reclamante aparecen seleccionadas las opciones siguientes: Sexo: “XXXXX”; Año de nacimiento: “XXXX”; Discapacidad: “XX”; Etnia: “XXXXXXXXXXX”). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/42 Es THOMAS INTERNACIONAL SYSTEMS quien decide la recogida de estos datos personales y su utilización con finalidades propias (fines de investigación y mejora de las evaluaciones), en su propio beneficio. En definitiva, es dicha entidad quien determina llevar a cabo estas operaciones de tratamiento de datos personales. Es lo mismo que decir que THOMAS INTERNACIONAL SYSTEMS es la entidad que determina por qué (la finalidad) y cómo (los medios) se tratan tales datos personales para alcanzar el propósito que se pretende. En cuanto a los “medios del tratamiento”, las Directrices 07/2020 del Comité Europeo de Protección de Datos (CEPD) sobre los conceptos de responsable del tratamiento y encargado en el RGPD, ya citadas, señalan lo siguiente: “Por lo que respecta a la determinación de los medios, se puede hacer una distinción entre medios esenciales y no esenciales. Los "medios esenciales" están tradicional e inherentemente reservados al responsable del tratamiento. Mientras que los medios no esenciales también pueden ser determinados por el encargado, los medios esenciales deben ser determinados por el responsable del tratamiento. "Medios esenciales" son los medios que están estrechamente relacionados con la finalidad y el alcance del tratamiento, como el tipo de datos personales que se tratan ("¿qué datos se tratarán?"), la duración del tratamiento ("¿durante cuánto tiempo se tratarán?"), las categorías de destinatarios ("¿quién tendrá acceso a ellos?") y las categorías de interesados ("cuyos datos personales están siendo procesados"). Junto con la finalidad del tratamiento, los medios esenciales también están estrechamente relacionados con la cuestión de si el tratamiento es legal, necesario y proporcionado. Los "medios no esenciales" se refieren a aspectos más prácticos de la aplicación, tales como la elección de un tipo particular de software o las medidas de seguridad detalladas que pueden dejarse al encargado del tratamiento para que decida” (la traducción es nuestra). THOMAS INTERNACIONAL SYSTEMS ostenta la condición de responsable del tratamiento respecto de la recogida y utilización de los datos personales relativos a etnia y discapacidad a los que se refiere la reclamación, tal y como esa misma entidad ha reconocido y según consta acreditado por la documentación incorporada a las actuaciones. El “Acuerdo de tratamiento de datos” formalizado por Agroxarxa y THOMAS INTERNACIONAL SYSTEMS, antes referido, contempla en su estipulación 4 la utilización de datos personales como responsable por parte de THOMAS INTERNACIONAL SYSTEMS con fines de investigación. Se dice expresamente: “Thomas puede actuar como un controlador de datos en relación con los Datos personales de la Compañía y dicho procesamiento puede realizarse únicamente con Propósitos de investigación permitidos”. Asimismo, en la Política de Privacidad disponible en la web “***URL.1” se obtiene la información siguiente: 2.5 ¿Utilizamos datos personales en nuestra investigación? Nos comprometemos a mejorar continuamente nuestras evaluaciones. Para ello, pedimos a los candidatos que nos faciliten información adicional, como la franja de edad, el nivel educativo, el origen étnico y cuestiones similares. El suministro de esta información es voluntario y no es necesario para completar una evaluación. Cuando tratamos cualquiera de estos datos personales para la investigación, lo hacemos como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/42 responsable del tratamiento de datos. Toda información personal que se nos facilite para investigación se utilizará exclusivamente con fines de investigación y no se revelará a terceros…” (Traducción no oficial). También se deduce esta condición de responsable del tratamiento de la respuesta facilitada por THOMAS INTERNACIONAL SYSTEMS a los Servicios de Inspección de esta Agencia, cuando señala que los datos de origen étnico y discapacidad no forman parte de la evaluación psicométrica ni afectan a los resultados obtenidos por el candidato en su evaluación; y que dicha información se usa por el equipo de “Thomas International Sciences” para asegurar que sus herramientas de evaluación psicométrica se diseñan de tal forma que no discriminen a las personas evaluadas. Con esta respuesta, dicha entidad aportó copia del “Cuestionario” cuya cumplimentación solicita a los interesados (candidatos al puesto ofertado) y la información previa que les. En esta información se refieren al formulario como “Cuestionario de investigación Thomas” y advierten que los datos se utilizarán con propósitos de investigación, para mejorar sus evaluaciones. Por otra parte, la entidad Agroxarxa ha informado que no recaba datos de etnia y discapacidad, que estos datos no se recogen por THOMAS INTERNACIONAL SYSTEMS para Agroxarxa ni se le facilitan las respuestas contenidas en el formulario en cuestión. Asimismo, ha declarado que THOMAS INTERNACIONAL SYSTEMS utiliza el mismo formulario para todos sus clientes. THOMAS INTERNACIONAL SYSTEMS, en sus alegaciones a la apertura del procedimiento, no ha cuestionado los argumentos anteriores, que ya se exponían en dicho acuerdo de apertura. IV Los datos personales relativos a etnia y discapacidad, por su naturaleza, pertenecen a categorías especiales de datos, reguladas en el artículo 9 del RGPD, que establece una prohibición general de su tratamiento. En este artículo se dispone lo siguiente: “Tratamiento de categorías especiales de datos personales 1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física. 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
b)el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión o de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/42 miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;
c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;
d)el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;
e)el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
f)el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional,
j)el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado. 3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes. 4. Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud”. Con carácter general, este precepto prohíbe la realización de tratamientos de categorías especiales de datos, salvo que dicho tratamiento pueda ampararse en alguna de las excepciones reguladas en el artículo 9.2 del RGPD. Así, se establece una prohibición general de tratamiento de datos personales que revelen el origen étnico o racial y datos relativos a la salud, como aquellos relativos a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/42 la discapacidad de la persona (Considerando 35 y artículo 4.15 del RGPD); y, en su apartado 2, regula las excepciones que levantan dicha prohibición, algunas de ellas sobre la base del Derecho de la Unión o de los Estados miembros, que debe incorporar en su propia regulación las garantías adecuadas para que el derecho a la protección de datos sea respetado, respetar también el principio de proporcionalidad y establecer medidas adecuadas y específicas para salvaguardar los derechos fundamentales y los intereses de las personas afectadas. En concreto, para los tratamientos de categorías especiales de datos que resulten necesarios con fines de investigación científica a los que se refiere la letra
j)del citado artículo 9.2 del RGPD, el responsable deberá acudir ineludiblemente a una concreta norma legal que lo ampare y, además, cumplir los principios mencionados y establecer garantías adicionales que salvaguarden los derechos de las personas afectadas. En relación con los tratamientos de datos personales relativos a la salud, la disposición adicional decimoséptima de la LOPDGDD establece que se encuentran amparados en las letras g), h),
i)y
j)del citado artículo 9.2 del RGPD los tratamientos que estén regulados en las leyes que enumera, entre las que figura el texto refundido de la Ley General de derechos de las personas con discapacidad y de su inclusión social, aprobado por Real Decreto Legislativo 1/2013 de 29 de noviembre. No obstante, ello no descarta aquellos tratamientos de datos que se lleven a cabo en aplicación de otras normas distintas a las señaladas en la citada disposición adicional. El artículo 89 del RGPD se refiere expresamente a “Garantías y excepciones aplicables al tratamiento con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos”: 1. El tratamiento con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos estará sujeto a las garantías adecuadas, con arreglo al presente Reglamento, para los derechos y las libertades de los interesados. Dichas garantías harán que se disponga de medidas técnicas y organizativas, en particular para garantizar el respeto del principio de minimización de los datos personales. Tales medidas podrán incluir la seudonimización, siempre que de esa forma puedan alcanzarse dichos fines. Siempre que esos fines pueden alcanzarse mediante un tratamiento ulterior que no permita o ya no permita la identificación de los interesados, esos fines se alcanzarán de ese modo. (…)”. El RGPD recoge los principios relativos al tratamiento en su artículo 5: licitud, lealtad y transparencia; limitación de la finalidad; minimización de datos; exactitud; limitación del plazo de conservación; e integridad y confidencialidad. Por otra parte, una vez excepcionada la prohibición general con la cobertura del artículo 9.2 del RGPD, para dar licitud al tratamiento de datos de categorías especiales es necesario acudir a los supuestos del artículo 6 del mismo Reglamento. Así lo indicó el Grupo de Trabajo del Articulo 29 (cuyas funciones han sido asumidas por el Comité Europeo de Protección de Datos) en su dictamen “Directrices sobre decisiones individuales automatizadas y elaboración de perfiles a los efectos del Reglamento 2016/679”, adoptado el 03/10/2017 y revisado en fecha 06/02/2018, al indicar que “Los responsables del tratamiento solo pueden tratar datos personales de categoría especial si se cumple una de las condiciones previstas en el artículo 9, apartado 2, así C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/42 como una condición del artículo 6”. Este artículo 6 del RGPD establece los supuestos que permiten que el tratamiento de datos sea considerado lícito: “Artículo 6. Licitud del tratamiento 1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3. La base del tratamiento indicado en el apartado 1, letras
c)y e), deberá ser establecida por:
a)el Derecho de la Unión, o
b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. 4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/42 democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
a)cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
b)el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
c)la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
d)las posibles consecuencias para los interesados del tratamiento ulterior previsto;
e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización”. V En el presente caso, por parte de THOMAS INTERNACIONAL SYSTEMS se realiza un tratamiento de datos relativos a etnia y discapacidad, por lo que nos encontramos ante un supuesto de tratamiento de categorías especiales de datos personales sujeto a la regla general de prohibición establecida en el artículo 9.1 del RGPD. Por otra parte, no consta en las actuaciones, y tampoco ha sido justificado por la entidad THOMAS INTERNACIONAL SYSTEMS, que concurra ninguna de las circunstancias o excepciones establecidas en el apartado 2 de dicho artículo que salven la prohibición de tratamiento de tales datos personales. La citada entidad considera aplicable la excepción prevista en el artículo 9.2.j), considerando que aquellos datos de etnia y discapacidad se someten a tratamiento con fines de investigación científica, y dedica sus alegaciones a justificar la necesidad y proporcionalidad de ese tratamiento y las garantías adicionales establecidas para respetar el derecho a la protección de datos de las personas afectadas, entre ellas, las relativas a las medidas de seguridad, técnicas y organizativas implantadas, la no comunicación de los datos a terceros, o el cumplimiento de los principios de limitación de la finalidad, minimización, limitación de la conservación y de exactitud de los datos. Sin embargo, THOMAS INTERNACIONAL SYSTEMS no invoca ninguna norma legal que ampare dicho tratamiento de datos, en el contexto en el que se lleva a cabo, de modo que no se cumple el presupuesto básico establecido en el artículo 9.2.
j)del RGPD, según el cual el tratamiento de datos de categorías especiales con fines de investigación científica debe realizarse “sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado”. A este respecto, la citada entidad se ha limitado a manifestar que cumple los estándares internacionales de psicometría recomendados por la Federación Europea de Asociaciones de Psicólogos (FEAP), la Comisión Internacional de Pruebas (ITC) o la Asociación de Psicología Empresarial, que no constituyen normas “del Derecho de la Unión o de los Estados miembros”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/42 Esta exigencia no puede salvarse, como pretende THOMAS INTERNACIONAL SYSTEMS, por el establecimiento de las garantías a las que se refiere en su escrito de alegaciones o por el cumplimiento de los principios relativos al tratamiento, ni por las medidas que dice haber tomado a raíz del presente caso, con las que ha pretendido mejorar la información ofrecida a los interesados y mitigar los posibles daños con nuevas evaluaciones de riesgos. Ni siquiera consta con certeza la base jurídica que legitima el tratamiento de estos datos conforme a lo establecido en el artículo 6 del RGPD, ni THOMAS INTERNACIONAL SYSTEMS informa al respecto de forma clara a los interesados. La información contenida en la Política de Privacidad en relación con este aspecto es genérica, limitándose a enumerar los tipos de base de legitimación, pero sin especificar cuál de ellas corresponde a los concretos tratamientos que lleva a cabo: “2.6 En caso de que seamos responsables del tratamiento de datos: ¿Qué fundamento jurídico tenemos para utilizar sus datos personales? Solo recogeremos, utilizaremos y compartiremos sus datos personales si estamos convencidos de que disponemos de una base jurídica adecuada para ello. Sobre la base de la variedad de servicios que prestamos, podemos basarse en una de las siguientes bases jurídicas para el tratamiento de sus datos: . usted ha dado su consentimiento para utilizar sus datos personales; . el uso que hacemos de sus datos personales redunda en nuestro legítimo interés como organización comercial; en estos casos, trataremos su información en todo momento de manera proporcionada y respetuosa con su derecho a la intimidad. También tendrá derecho a oponerse al tratamiento, tal como se explica en la sección 7; . el uso de sus datos personales es necesario para ejecutar un contrato o tomar medidas para celebrar un contrato con usted; o . nuestro uso de sus datos personales es necesario para cumplir una obligación legal o reglamentaria pertinente…” (Traducción no oficial). El tratamiento de datos objeto de las actuaciones no es necesario para el cumplimiento de la relación contractual que THOMAS INTERNACIONAL SYSTEMS formaliza con sus clientes como prestador de servicios, por cuanto dicho tratamiento se realiza al margen de dicha relación comercial, en beneficio exclusivo de THOMAS INTERNACIONAL SYSTEMS; tampoco responde al cumplimiento de una obligación legal; ni se invoca un interés legítimo que prevalezca sobre los derechos y libertades fundamentales de los interesados. THOMAS INTERNACIONAL SYSTEMS únicamente ha manifestado al respecto que los datos de origen étnico y discapacidad se recababan de forma voluntaria y optativa, ofreciendo al interesado la opción de no responder. De ello, parece desprenderse que la base jurídica invocada por esta entidad para legitimar el tratamiento de datos que realiza es el consentimiento de los interesados. Sin embargo, en relación con el tratamiento de datos personales relativos a etnia y discapacidad no se ha justificado la prestación de un consentimiento válido por los interesados. Es cierto que la información ofrecida con carácter previo a la cumplimentación del formulario advierte a los interesados que “la participación es enteramente voluntaria y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/42 podrá optar por saltarse cualquier pregunta que no quiera contestar”; y que después del texto informativo se incluyen los botones “No estoy de acuerdo” y “Siguiente”. Además, en el desplegable de respuestas que se muestran para alguna de las preguntas figura también la opción “Prefiero no contestar”. Pero no consta ningún mecanismo que permita al interesado prestar su consentimiento y la mera cumplimentación del formulario, en este caso, no puede aceptarse como una prestación de dicho consentimiento. De acuerdo con lo establecido en el artículo 9.2.
a)del RGPD, el consentimiento para el tratamiento de categorías especiales de datos personales debe ser “explícito”, de modo que no sirve a tales efectos una mera acción afirmativa de la que pueda concluirse que el interesado consiente el tratamiento, sino que se hace necesario tener constancia formal sobre la prestación de dicho consentimiento, una declaración o confirmación expresa de consentimiento. La forma más evidente sería realizando una declaración escrita, aunque en el entorno digital o en línea pueden habilitarse formas que podrían suponer un consentimiento explícito válido: rellenar un impreso electrónico, enviar un correo electrónico que contenga el consentimiento, utilizar la firma electrónica o subir un documento escaneado con la firma manuscrita. Igualmente, en el caso de páginas web, este consentimiento explícito se podría recoger insertando unas casillas con las opciones de aceptar y no aceptar junto a un texto referido al consentimiento que sea claro para el interesado. Así lo entiende el Comité Europeo de Protección de Datos en el documento “Directrices 05/2020 sobre el consentimiento con arreglo al Reglamento 2016/679”, que actualiza las directrices sobre el consentimiento adoptadas por el Grupo de Trabajo del Artículo 29 el 28/11/2017, revisadas y aprobadas el 10/04/2018: “91. El consentimiento explícito se requiere en determinadas situaciones en las que existe un grave riesgo en relación con la protección de los datos y en las que se considera adecuado que exista un elevado nivel de control sobre los datos personales. En virtud del RGPD, el consentimiento explícito tiene una función importante en el artículo 9 sobre el tratamiento de categorías especiales de datos personales… 92. El RGPD estipula que el requisito previo de un consentimiento “normal” es “una declaración o una clara acción afirmativa”. Dado que el requisito de consentimiento “normal” en el RGPD ya se ha elevado a un nivel superior en comparación con el requisito de consentimiento contemplado en la Directiva 95/46/CE, deben aclararse qué esfuerzos adicionales debería realizar el responsable del tratamiento con el fin de obtener el consentimiento explícito del interesado en consonancia con el RGPD. 93. El término explícito se refiere a la manera en que el interesado expresa el consentimiento. Significa que el interesado debe realizar una declaración expresa de consentimiento. Una manera evidente de garantizar que el consentimiento es explícito sería confirmar de manera expresa dicho consentimiento en una declaración escrita. Cuando proceda, el responsable podría asegurarse de que el interesado firma la declaración escrita, con el fin de eliminar cualquier posible duda o falta de prueba en el futuro. 94. No obstante, dicha declaración firmada no es el único modo de obtener el consentimiento explícito y no puede decirse que el RGPD prescriba declaraciones escritas y firmadas en todas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/42 las circunstancias que requieran un consentimiento explícito válido. Por ejemplo, en el contexto digital o en línea, un interesado puede emitir la declaración requerida rellenando un impreso electrónico, enviando un correo electrónico, cargando un documento escaneado con su firma o utilizando una firma electrónica. En teoría, el uso de declaraciones verbales también puede ser una forma lo suficientemente manifiesta de expresar el consentimiento explícito, sin embargo, puede resultar difícil para el responsable del tratamiento demostrar que se cumplieron todas las condiciones para el consentimiento explícito válido cuando se grabó la declaración”. Y tampoco se cumplen otros requisitos que otorgan validez al consentimiento, según la definición recogida en el artículo 4 del RGPD: “Artículo 4 Definiciones A efectos del presente Reglamento se entenderá por: 11. “consentimiento del interesado”: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. En relación con la prestación del consentimiento, debe tenerse en cuenta lo establecido en el artículo 6 del RGPD y en los artículos 7 del RGPD y 7 de la LOPDGDD. Artículo 7 “Condiciones para el consentimiento” del RGPD: “1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales”. Artículo 6 “Tratamiento basado en el consentimiento del afectado” de la LOPDGDD: “1. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen. 2. Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado para una pluralidad de finalidades será preciso que conste de manera específica e inequívoca que dicho consentimiento se otorga para todas ellas. 3. No podrá supeditarse la ejecución del contrato a que el afectado consienta el tratamiento de los datos personales para finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación contractual”. El consentimiento se entiende como un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernan, prestada con garantías suficientes para acreditar que el interesado es consciente del hecho de que da su consentimiento y de la medida en que lo hace. Y debe darse para todas las actividades de tratamiento realizadas con el mismo o mismos fines, de modo que, cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos ellos de manera específica e inequívoca, sin que pueda supeditarse la ejecución del contrato a que el afectado consienta el tratamiento de sus datos personales para finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación negocial. A este respecto, la licitud del tratamiento exige que el interesado sea informado sobre los fines a que están destinados los datos (consentimiento informado). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/42 El consentimiento ha de prestarse libremente. Se entiende que el consentimiento no es libre cuando el interesado no goza de verdadera o libre elección o no puede denegar o retirar su consentimiento sin sufrir perjuicio alguno; o cuando no se le permita autorizar por separado las distintas operaciones de tratamiento de datos personales pese a ser adecuado en el caso concreto, o cuando el cumplimiento de un contrato o prestación de servicio sea dependiente del consentimiento, aún cuando éste no sea necesario para dicho cumplimiento. Esto ocurre cuando el consentimiento se incluye como una parte no negociable de las condiciones generales o cuando se impone la obligación de estar de acuerdo con el uso de datos personales adicionales a los estrictamente necesarios. Sin estas condiciones, la prestación del consentimiento no ofrecería al interesado un verdadero control sobre sus datos personales y el destino de los mismos, y ello haría ilegal la actividad del tratamiento. El Comité Europeo de Protección de Datos analizó estas cuestiones en su documento “Directrices 05/2020 sobre el consentimiento con arreglo al Reglamento 2016/679”, de 04/05/2020 De lo indicado en este documento, interesa ahora destacar algunos aspectos relacionados con la validez del consentimiento, en concreto sobre los elementos “específico”, “informado” e “inequívoco”: “3.2. Manifestación de voluntad específica El artículo 6, apartado 1, letra a), confirma que el consentimiento del interesado para el tratamiento de sus datos debe darse «para uno o varios fines específicos» y que un interesado puede elegir con respecto a cada uno de dichos fines. El requisito de que el consentimiento deba ser «específico» tiene por objeto garantizar un nivel de control y transparencia para el interesado. Este requisito no ha sido modificado por el RGPD y sigue estando estrechamente vinculado con el requisito de consentimiento «informado». Al mismo tiempo, debe interpretarse en línea con el requisito de «disociación» para obtener el consentimiento «libre». En suma, para cumplir con el carácter de «específico» el responsable del tratamiento debe aplicar:
i)la especificación del fin como garantía contra la desviación del uso,
ii)la disociación en las solicitudes de consentimiento, y iii) una clara separación entre la información relacionada con la obtención del consentimiento para las actividades de tratamiento de datos y la información relativa a otras cuestiones. (…) “3.3. Manifestación de voluntad informada El RGPD refuerza el requisito de que el consentimiento debe ser informado. De conformidad con el artículo 5 del RGPD, el requisito de transparencia es uno de los principios fundamentales, estrechamente relacionado con los principios de lealtad y licitud. Facilitar información a los interesados antes de obtener su consentimiento es esencial para que puedan tomar decisiones informadas, comprender qué es lo que están autorizando y, por ejemplo, ejercer su derecho a retirar su consentimiento. Si el responsable no proporciona información accesible, el control del usuario será ilusorio y el consentimiento no constituirá una base válida para el tratamiento de los datos. Si no se cumplen los requisitos relativos al consentimiento informado, el consentimiento no será válido y el responsable podrá estar incumpliendo el artículo 6 de RGPD. 3.3.1. Requisitos mínimos de contenido para que el consentimiento sea «informado» Para que el consentimiento sea informado es necesario comunicar al interesado ciertos elementos que son cruciales para poder elegir. Por tanto, el GT29 opina que se requiere, al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/42 menos, la información siguiente para obtener el consentimiento válido:
i)la identidad del responsable del tratamiento,
ii)el fin de cada una de las operaciones de tratamiento para las que se solicita el consentimiento, iii) qué (tipo
de)datos van a recogerse y utilizarse,
iv)la existencia del derecho a retirar el consentimiento,
v)información sobre el uso de los datos para decisiones automatizadas de conformidad con el artículo 22, apartado 2, letra c), cuando sea pertinente, e
vi)información sobre los posibles riesgos de transferencia de datos debido a la ausencia de una decisión de adecuación y de garantías adecuadas, tal y como se describen en el artículo 46”. En el supuesto denunciado no existen evidencias sobre la prestación de un consentimiento válido por parte de los interesados que ampare los tratamientos de datos personales objeto de la reclamación. Esta entidad ni siquiera informa debidamente sobre este tratamiento de datos, sobre su finalidad y base jurídica o el derecho a retirar el consentimiento, en su caso, de conformidad con lo establecido en el artículo 13 del RGPD; ni ha establecido ningún mecanismo para que los interesados puedan prestar un consentimiento explícito. En cuanto a la información, debe señalarse que únicamente se presenta la Política de Privacidad de la matriz británica del Grupo, Thomas International Ltd., en idioma inglés, y que no informa debidamente sobre la base jurídica del tratamiento y la finalidad del tratamiento, que se describe simplemente haciendo referencia a fines de investigación. Por último, tampoco la entidad THOMAS INTERNACIONAL SYSTEMS ha aportado elementos suficientes para que pueda determinarse el cumplimiento del juicio de los requisitos de proporcionalidad exigidos por el Tribunal Constitucional, de modo que puede concluirse la idoneidad del tratamiento para la finalidad propuesta, si el mismo es o no necesario o si existen medidas alternativas menos intrusivas. En este sentido, el Tribunal Constitucional ha señalado (Sentencia 14/2003, de 28 de enero) que “para comprobar si una medida restrictiva de un derecho fundamental supera el juicio de proporcionalidad, es necesario constatar si cumple los tres requisitos o condiciones siguientes: si tal medida es susceptible de conseguir el objetivo propuesto (juicio de idoneidad); si, además, es necesaria, en el sentido de que no exista otra medida más moderada para la consecución de tal propósito con igual eficacia (juicio de necesidad); y, finalmente, si la misma es ponderada o equilibrada, por derivarse de ella más beneficios o ventajas para el interés general que perjuicios sobre otros bienes o valores en conflicto (juicio de proporcionalidad en sentido estricto)”. A este respecto, debe tenerse en cuenta el principio de intervención mínima (art. 5.1.
c)y art. 25.1 RGPD), dado que es preciso acreditar que no hay otra medida más moderada para la consecución de la finalidad pretendida con igual eficacia, en el marco de la responsabilidad proactiva del responsable del tratamiento. Por tanto, de los hechos y fundamentos de derecho expuestos, resulta que, por parte de THOMAS INTERNACIONAL SYSTEMS, se realizan tratamientos de datos personales de categorías especiales en contra de la prohibición establecida en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/42 artículo 9 del RGPD y sin que concurra ninguna de las excepciones previstas para levantar dicha prohibición. Este incumplimiento de lo establecido en el artículo 9 del RGPD da lugar a la aplicación de los poderes correctivos que el artículo 58 del citado Reglamento otorga a la Agencia Española de Protección de datos. VI THOMAS INTERNACIONAL SYSTEMS ha señalado que no se produce una infracción sancionable al no existir intencionalidad en la comisión u omisión que provoca dicha infracción, añadiendo que ha tenido una actitud proactiva y cumplidora de sus obligaciones. A este respecto, debe señalarse, en primer término, que la incidencia se produce en el ámbito de responsabilidad de THOMAS INTERNACIONAL SYSTEMS y esta entidad debe responder por ello. En modo alguno puede considerarse que la falta de intencionalidad alegada excluya su responsabilidad, especialmente cuando la infracción pudo evitarse con el empleo de una mayor diligencia. En este caso, la infracción cometida es incompatible con la diligencia que dicha entidad viene obligada a observar. Esta diligencia debe manifestarse en el caso concreto que se analiza, y no en las circunstancias generales que alega la entidad para justificar una actuación proactiva, las cuales no pueden tomarse como circunstancias que impidan exigir las responsabilidades que derivan de la concreta actuación irregular. Admitir el planteamiento efectuado por THOMAS INTERNACIONAL SYSTEMS en sus alegaciones sería tanto como admitir que pueda ignorarse la aplicación del RGPD y la LOPDGDD, desvirtuando todo el sistema establecido sobre la licitud de los tratamientos de datos personales. Debe recordarse, por otra parte, que la infracción puede cometerse de forma dolosa o culposa. La Audiencia Nacional en Sentencia de 21 de septiembre de 2004 (RCA 937/2003), se pronuncia en los siguientes términos: “Además, en cuanto a la aplicación del principio de culpabilidad resulta (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 1139/2001) que la comisión de la infracción prevista en el artículo 44.3.
d)puede ser tanto dolosa como culposa… pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del Art. 130 de la Ley 30/1992, lo cierto es que la expresión “simple inobservancia” del Art. 130.1 de la Ley 30/1992, permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado”. En esta línea cabe citar la SAN de 21 de enero de 2010, en la que la Audiencia expone: “La recurrente también mantiene que no concurre culpabilidad alguna en su actuación. Es cierto que el principio de culpabilidad impide la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, también es cierto, que la ausencia de intencionalidad resulta secundaria ya que este tipo de infracciones normalmente se cometen C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/42 por una actuación culposa o negligente, lo que es suficiente para integrar el elemento subjetivo de la culpa. La actuación de XXX es claramente negligente pues… debe conocer… las obligaciones que impone la LOPD a todos aquellos que manejan datos personales de terceros. XXX viene obligada a garantizar el derecho fundamental a la protección de datos personales de sus clientes e hipotéticos clientes con la intensidad que requiere el contenido del propio derecho”. El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada o voluntaria, y a este respecto el artículo 28 de la Ley 40/2015 de Régimen Jurídico del Sector Público, bajo la rúbrica “Responsabilidad”, dispone lo siguiente: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. Los hechos expuestos en el Fundamento precedente ponen de manifiesto que THOMAS INTERNACIONAL SYSTEMS no obró con la diligencia a la que venía obligada, que actuó con falta de diligencia. El Tribunal Supremo (Sentencias de 16 y 22/04/1991) considera que del elemento culpabilista se desprende “...que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable”. El mismo Tribunal razona que “no basta... para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia” (STS 23 de enero de 1998). Conectada también con el grado de diligencia que el responsable del tratamiento está obligado a desplegar en el cumplimiento de las obligaciones que le impone la normativa de protección de datos puede citarse la SAN de 17/10/2007 (Rec. 63/2006), que precisó: “(...) el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible”. A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...” (SAN 29/06/2001). Se concluye, por tanto, en contra de lo objetado por la entidad reclamada, que el elemento subjetivo sí está presente en la infracción declarada. VII Para el caso de que concurra una infracción de los preceptos del RGPD, entre los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/42 como autoridad de control, el artículo 58.2 de dicho Reglamento contempla los siguientes: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;” (...)
d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado; (…)
i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;”. Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en la letra
d)anterior es compatible con la sanción consistente en multa administrativa. VIII Se considera que los hechos expuestos incumplen lo establecido en el artículo 9 del RGPD, lo que supone la comisión de una infracción tipificada en el apartado 5.
a)del artículo 83 del RGPD. El artículo 83.5.
a)del RGPD, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone lo siguiente: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9”. Por otra parte, el artículo 71 de la LOPDGDD considera infracción cualquier incumplimiento de esta Ley Orgánica: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. El apartado 1.
e)del artículo 72 de la LOPDGDD considera, como “muy grave”, a efectos de prescripción: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
e)El tratamiento de datos personales de las categorías a las que se refiere el artículo 9 del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/42 Reglamento (UE) 2016/679, sin que concurra alguna de las circunstancias previstas en dicho precepto y en el artículo 9 de esta Ley Orgánica”. A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
a)a
h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
b)la intencionalidad o negligencia en la infracción;
c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
g)las categorías de los datos de carácter personal afectados por la infracción;
h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
a)El carácter continuado de la infracción.
b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/42
c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
f)La afectación a los derechos de los menores.
g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. Con respecto a la infracción del artículo 9 del RGPD, atendiendo a los hechos expuestos, se considera que la sanción que correspondería imponer es de multa administrativa. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Así, se considera, con carácter previo, la condición de pequeña empresa y volumen de negocio de THOMAS INTERNACIONAL SYSTEMS (Consta en las actuaciones que dicha entidad (…). De acuerdo con los preceptos indicados, a efectos de fijar el importe de la sanción a imponer en el presente caso, se consideran aplicables los siguientes criterios: Se estiman concurrentes como agravantes los criterios de graduación siguientes: . Artículo 83.2.
a)del RGPD: “
a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido”. . La naturaleza y gravedad de la infracción, teniendo que el interesado no conoce de forma clara la entidad responsable del tratamiento y el uso que se realizará de los datos personales, lo que incide en la capacidad de los interesados de ejercer un verdadero control sobre sus datos personales. . En relación con la duración de la infracción, consta en las actuaciones que la Política de Privacidad que recoge las acciones de tratamiento de datos personales que lleva a cabo, incluidas las que son objeto del presente procedimiento, tiene fecha de 03/07/2019. . El número de interesados: la infracción afecta a todos los interesados que son evaluados por la entidad THOMAS INTERNACIONAL SYSTEMS. . Los perjuicios que hayan sufrido los interesados: teniendo en cuenta todas las circunstancias expuestas, es claro que los interesados han visto incrementados los riesgos en su privacidad. . Artículo 83.2.
b)del RGPD: “
b)la intencionalidad o negligencia en la infracción". La negligencia apreciada en la comisión de la infracción. A este respecto, se tiene C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/42 en cuenta lo declarado en Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006) que, partiendo de que se trata de entidades cuya actividad lleva aparejado en continuo tratamiento de datos, indica que “…el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. Se trata de una empresa que realiza tratamientos de datos personales de manera sistemática y continua en el ámbito laboral y que debe extremar el cuidado en el cumplimiento de sus obligaciones en materia de protección de datos. . Artículo 83.2.
d)del RGPD: “
d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32”. La entidad imputada no tiene implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, en lo que se refiere a los datos relativos a etnia y discapacidad, de modo que la infracción no es consecuencia de una anomalía en el funcionamiento de dichos procedimientos sino un defecto del sistema de gestión de los datos personales diseñado por la responsable a su iniciativa. . Artículo 76.2.
b)de la LOPDGDD: “
b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales”. La alta vinculación de la actividad del infractor con la realización de tratamientos de datos personales. Se considera el nivel de implantación del Grupo al que pertenece THOMAS INTERNACIONAL SYSTEMS y la actividad que desarrolla. Esta circunstancia determina un mayor grado de exigencia y profesionalidad y, consiguientemente, de la responsabilidad de la citada entidad en relación con el tratamiento de los datos. Considerando los factores expuestos, la valoración que alcanza la multa, por la Infracción del artículo 9 del RGPD, es de 50.000 euros (cincuenta mil euros). THOMAS INTERNACIONAL SYSTEMS, en su escrito de alegaciones a la apertura del procedimiento no ha efectuado ninguna manifestación sobre los criterios de graduación expuestos, que se exponían en dicho acuerdo con la misma amplitud y detalle. No obstante, ha solicitado que, en lugar de sancionar con multa administrativa, se dirija un apercibimiento considerando que ha adoptado medidas adicionales para evitar cualquier incidencia, tales como nombrar un nuevo delegado de protección de datos, efectuar un nuevo análisis de riesgos y evaluación de impacto, y redactar nuevas cláusulas informativas sobre los tratamientos que conlleva el “Cuestionario”, además de reforzar la información y formación de su personal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/42 En apoyo de su planteamiento, cita diversos precedentes tramitados por esta Agencia, que constan mencionados en el Antecedente Octavo, en los que se archivaron las actuaciones o se dirigió un apercibimiento atendiendo a la adecuación normativa llevada a cabo por la entidad responsable. Destaca THOMAS INTERNACIONAL SYSTEMS las acciones desarrolladas por la parte reclamante en los precedentes que cita, entre ellas, la suspensión de la web implicada en los hechos, la actualización de la información en materia de protección de datos ofrecida a los interesados, la mejora de los mecanismos para otorgar el consentimiento mediante la marcación de una casilla, nombramiento de un delegado de protección de datos, o la no comisión de ninguna infracción anterior por la parte reclamada. Finalmente, destaca que tiene una actitud proactiva; todo su personal está debidamente formado; su actividad no ha producido daños a los derechos de los interesados, que no ha recibido ninguna reclamación ni incidencia ni brecha de seguridad hasta la fecha; y que, al tener conocimiento del asunto, ha iniciado una revisión de sus protocolos, análisis y evaluaciones, y ha procedido a nombrar especialistas contrastados en la materia. En respuesta a estas alegaciones se reitera que, en este caso, considerando la gravedad de la infracción constatada, procede la imposición de multa, además de la adopción de medidas. No cabe aceptar la solicitud formulada por THOMAS INTERNACIONAL SYSTEMS para que se impongan otros poderes correctivos que hubiesen permitido la corrección de la situación irregular, como es el apercibimiento, que está previsto, con carácter general, para personas físicas y cuando la sanción constituya una carga desproporcionada (considerando 148 del RGPD). Además, THOMAS INTERNACIONAL SYSTEMS no ha justificado, ni siquiera mencionado, cuáles son las similitudes entre el presente caso y los supuestos de hecho examinados en los precedentes que invoca. En todo caso, debe señalarse que las medidas adoptadas resultan insuficientes a los efectos pretendidos, por cuanto no restablecen los derechos de los interesados. THOMAS INTERNACIONAL SYSTEMS no ha planteado en forma alguna la cesación de la conducta vulneradora del ordenamiento jurídico. Tampoco las medidas que dicha entidad dice haber adoptado pueden valorarse como una atenuante. Dichas medidas no son las adecuadas para “poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción”, según los términos del artículo 83.2.
f)del RGPD, o “para paliar los daños y perjuicios sufridos por los interesados” como consecuencia de la infracción, según el apartado 2.
c)del mismo artículo. Mitigar los efectos adversos o paliar los daños y perjuicios causados de las infracciones implica restablecer los derechos de los interesados, cosa que en este caso conlleva la supresión de los datos de etnia y discapacidad recabados de los interesados y suspender su recogida. Por otra parte, ninguno de los factores de graduación considerados queda atenuado por el hecho de que la entidad THOMAS INTERNACIONAL SYSTEMS no haya sido C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/42 objeto de un procedimiento sancionador con anterioridad. A este respecto, la Sentencia de la AN, de 05/05/2021, rec. 1437/2020, indica: “Considera, por otro lado, que debe apreciarse como atenuante la no comisión de una infracción anterior. Pues bien, el artículo 83.2 del RGPD establece que debe tenerse en cuenta para la imposición de la multa administrativa, entre otras, la circunstancia "
e)toda infracción anterior cometida por el responsable o el encargado del tratamiento". Se trata de una circunstancia agravante, el hecho de que no concurra el presupuesto para su aplicación conlleva que no pueda ser t

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.