PS-00217-2024

1/14  Expediente N.º: EXP202402706 Procedimiento Sancionador N.º PS/00217/2024 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 10 de enero de 2024 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra LOSSCHLAGEN,S.L. con NIF B38852117 (en adelante, la parte reclamada/LOSSCHLAGEN). Los motivos en que basa la reclamación son los siguientes: El reclamante indica que el 13 de diciembre de 2023 recibió un correo electrónico del departamento laboral de la empresa en la que trabaja, en el que se le informa de que les ha sido comunicada una diligencia de embargo de su salario por parte de la AEAT en virtud de la cual se procederá a practicar la correspondiente deducción de la nómina a partir del mes siguiente. El reclamante señala que en el citado correo se incluyen en copia a dos personas de la empresa que no tienen por qué conocer estos hechos, considerados sensibles y confidenciales. Junto a la reclamación se aporta únicamente el propio escrito de reclamación presentado en el registro ORVE, y copia del DNI del reclamante. Posteriormente, con fecha de 23 de enero de 2024 el reclamante aporta la siguiente documentación ampliatoria: - Primera página de la diligencia de la AEAT de 12 de diciembre de 2023, de embargo en el que se hace constar el nombre, apellidos, NIF y domicilio del reclamante como obligado al pago, y a la reclamada como pagador. - Correo electrónico remitido con fecha de 13 de diciembre de 2023 por el departamento de laboral de la reclamada desde la dirección de correo ***EMAIL.1 al reclamante (***EMAIL.2), en el que aparecen en copia dos direcciones de correo de GMAIL (***EMAIL.3 y ***EMAIL.4), en el que se informa de la recepción de la diligencia de embargo, que se adjunta, y de que se va a proceder a descontarle la parte correspondiente a partir de la siguiente nómina. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/14 El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 21/02/2024, como consta en el acuse de recibo que obra en el expediente. TERCERO: Con fecha 10 de abril de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 26/04/2024 B.B.B. presenta escrito de respuesta al traslado en nombre y representación de la empresa reclamada, indicando sucintamente que: - Con fecha de 12 de diciembre de 2023 se recibió diligencia de la AEAT declarando el embargo de una parte del sueldo del reclamante dentro del procedimiento de apremio para el cobro de las deudas pendientes tramitado frente al mismo. - Obrando en cumplimento de este mandato y de acuerdo con la normativa aplicable a tal procedimiento de apremio, y en materia tributaria, procedieron a comunicar dicho embargo al reclamante mediante correo electrónico de 13 de diciembre de 2023 dirigido al mismo. - En dicho correo electrónico, de acuerdo con instrucciones habituales para procedimientos de análoga naturaleza, se puso en copia a las siguientes personas: 1. La persona encargada de la confección y verificación de las nóminas de los trabajadores en su zona de influencia, cual es Fuerteventura, a los efectos de que proceda a ejecutar la diligencia de embargo, practicando la retención. 1. Y a ***PUESTO.1 de la empresa en Fuerteventura, por ser la supervisora directa del reclamante, a los efectos de contar con una tercera persona perteneciente a la empresa, que pueda acreditar que se ha practicado la comunicación de forma efectiva. QUINTO: Con fecha de 23 de mayo de 2024 se expide Diligencia para incorporar al presente expediente administrativo el “Informe mercantil de la herramienta AXESOR acerca de la entidad LOSSCHAGEN, S.L”, con NIF B38852117, es una sociedad de responsabilidad limitada constituida en el año 2006, dedicada al comercio al por menor de artículos deportivos en establecimientos especializados, con un volumen de negocio total anual en 2022 de ***CANTIDAD.1 €. SEXTO: Con fecha 6 de agosto de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 5.1.

1. f)del RGPD, tipificada en el Artículo 83.5.
2. a)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/14 SÉPTIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones el 30/08/24 en el que se realizan nueve alegaciones, que se sintetizan de la forma siguiente: - Primera.- El trabajador prestaba sus servicios en la empresa el día que se le remitió el email. Sin embargo, en la fecha en la que formalizó la denuncia, no trabajaba para la empresa denunciada y conviene reseñarlo a los efectos que se aclararan al finalizar este escrito. - Segunda. Los datos de contacto e identificativos ya eran conocidos por los destinatarios. El correo Gmail del reclamante, y sus demás datos de contacto e identificativos ya eran conocidos por las personas puestas en copia en el email de 13 de diciembre de 2023, y dicho conocimiento se remontaba al inicio de la relación laboral entre el denunciante y LOSSCHLAGEN. El reclamante vive y prestaba sus servicios en una isla distinta a la de la sede principal y de gestión de la empresa, por ese motivo, desde el inicio tenía como personas de contacto a estas dos personas, que conocían sus datos. Se aportan en el anexo I dos pantallazos, como ejemplo de la comunicación fluida del trabajador con sus coordinadores a través del correo. - Tercera.- Las personas puestas “en copia” tienen funciones que justifican la remisión del email. Las dos personas puestas en copia son responsables de zona para Fuerteventura y Lanzarote. LOSSCHLAGEN un tiene un departamento laboral en cada isla y los coordinadores ocupan funciones de gestión y coordinación para las islas de las que son responsables. Dado que la sede principal y de gestión de LOSSCHLAGEN se encuentra en Tenerife, estas personas tienen encomendadas labores de apoyo a la sede central que palian los efectos negativos de la insularidad. Entre otras funciones, en el ámbito laboral su apoyo comprende las siguientes funciones: o Selección de personal y propuesta de contratación. o Gestión de formalización de contratos. o Entrega de uniformes y artículos de trabajo. o Confección y revisión de nóminas de su zona de influencia. Gestión de la actividad diaria del trabajador. o Atención al usuario (trabajador) y coordinación con otros empleados, y la central. o Comunicación y coordinación con clientes y otros interesados. o Gestión de coordinación empresarial con clientes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/14 Esto es de conocimiento del empleado desde el inicio ya que todo el proceso de contratación y la coordinación diaria de la zona del interesado son gestionados por estos dos empleados de LOSSCHLAGEN. - Cuarta. Inexistencia de brechas y actuaciones realizadas. Frente a la afirmación de la AEPD sobre que el “envío de un correo electrónico ordinario tampoco asegura ni que sus destinatarios lo hayan recibido; ni que ninguno de ellos lo haya abierto”, señalan que no está acreditado de forma alguna que la superior jerárquica del reclamante haya accedido al email indicado y, menos al anexo en el que se encontraba la diligencia de embargo y la información tributaria asociada al embargo. El hecho de que el contenido del correo fuese remitido al denunciante sin hacer mención a los detalles del documento adjunto, en el cuerpo de correo, dan muestra que se tenía como fin que ***PUESTO.1 conociera en un primer momento, y salvo para los fines expuestos en el listado de sus funciones, los datos de la deuda tributaria del denunciante. Además, los dos destinatarios del correo son personas de confianza que han sido instruidos en el correcto tratamiento de los datos personales que manejan, y tienen firmado un acuerdo de confidencialidad y deber del secreto respecto a los datos que trata en nombre LOSSCHLAGEN. En definitiva, a día de hoy no es posible acreditar la existencia de una brecha que ha dado lugar a la pérdida de disponibilidad y control de los datos personales que menciona la AEPD en su escrito. Por otra parte, se señala que “Desde LOSSCHLAGEN se ha adoptado la decisión cautelar de extraer de la cuenta de ***PUESTO.1 el correo electrónico con su adjunto, esperando a la resolución firme de la AEPD para decidir sobre dicho email, pudiendo afirmarse que la medida adoptada ha mitigado por completo el riesgo de acceso y el resultado que fue denunciado y que hasta ahora contempla la AEPD”. - Quinta. El análisis que se hace de la aplicación del artículo 83 del RGPD (graduación de la sanción), es excesivo y, dicho respetuosamente, no se ajusta a la realidad del caso. Señala la reclamada lo siguiente: “Sentimos no haber detallado desde el inicio todas las funciones del personal y con ello dar lugar a una. concepción. errónea sobre los procedimientos de LOSSCHLAGEN”. Y que se deben tener en cuenta a la hora de graduar la sanción: (
3. i)que los datos que ya eran conocidos por los destinatarios (como se expuso al inicio), (
4. ii)que, respecto al embargo, el mismo debía conocerse por los destinatarios dado el ejercicio de sus funciones que ahora se aclaran mediante este escrito; (iii) y que, aunque se dijera así en el escrito de contestación al traslado, no hubo intención ni finalidad de considerar a ***PUESTO.1 únicamente como un medio de prueba de haber comunicado al interesado la notificación de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/14 embargo. Su puesta en copia está relacionada con las funciones que ella realiza para la empresa. - Sexta. Sobre el importe de la sanción propuesta. Pese a lo recogido en la página consultada por la AEPD, lo cierto es que LOSSCHLAGEN no se dedica a la venta de productos deportivos, “(…)”. - Séptima. Los datos no han salido del entorno laboral. LOSSCHLAGEN cuenta con Google Work Space para gestionar el dominio Losschlagen.com que se usa para las cuentas básicas de los departamentos principales y para la comunicación con organismos oficiales: dirección, laboral, contabilidad, entre otros, y usa el dominio Gmail.com para las cuentas de coordinadores y otros servicios internos más del día a día. Todas las cuentas de los coordinadores o personal de apoyo en gestión, que interactúan con el personal, han sido creadas por LOSSCHLAGEN y se instalan en móviles de la empresa junto con otras aplicaciones de mensajería y gestión de turnos. Cuando un coordinador deja su cargo o la empresa, la empresa recoge el dispositivo que le entregó en su momento, y el correo electrónico se bloquea temporalmente y luego se elimina ya que suele estar ligado al nombre de la persona y su cargo. Por tanto, los datos nunca salieron del entorno laboral ya que los correos puestos en copia son recursos de la empresa. - Octava. Inexistencia de antecedentes. En la actividad que desempeña LOSSCHLAGEN el cumplimiento de la normativa de protección de datos es esencial e indispensable, no solo por las obligaciones propias de LOSSCHLAGEN sino también por las actividades de coordinación laboral que surgen debido a su actividad y la tipología de clientes que tiene. Y se señala que hasta el momento nunca se habían registrado incidentes en materia de protección de datos. - Novena. De la intención real del reclamante A juicio de la reclamada, la denuncia formulada por el reclamante obedece a una represalia debido a que no se le contrató una vez finalizado el periodo de prueba (anterior a la fecha de denuncia), no cabiendo la instrumentalización de la AEPD basada en una venganza particular y no en una vulneración real de sus derechos. Y se alega la Sentencia de la Sección 1a de la Sala de lo Contencioso de ¿Ma Audiencia Nacional (SAN 1695/2011), de fecha 1 de abril de 2011, recoge que: “la importancia y trascendencia de la normativa sobre protección de datos y la relevancia de los derechos constitucionales que …se encuentran en juego, aconsejan que no se pongan al servicio de rencillas particulares, que deben solventarse en ámbitos distintos que tengan relevancia solo en el ámbito doméstico que les es de propio, y no un ámbito como el jurisdiccional. La C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/14 seriedad que conlleva el ejercicio de la potestad sancionadora aconseja que se pongan en marcha los mecanismos administrativos y jurisdiccionales correspondientes sólo cuando se suponga que se ha producido una verdadera violación del derecho fundamental a la protección de datos.” SÉPTIMO: Se acompaña como anexo relación de documentos obrantes en el procedimiento. OCTAVO: Con fecha de 5 de junio de 2025 se dicta Propuesta de Resolución en la que se propone, a raíz de los hechos nuevos puestos de manifiesto por la parte reclamada con las alegaciones al acuerdo de inicio, el archivo del presente procedimiento sancionador, por no concurrir evidencias probatorias que acrediten la comisión de una infracción del Artículo 5.1.
5. f)del RGPD, tipificada en el Artículo 83.5.
6. a)del RGPD. NOVENO: Notificada la Propuesta de Resolución a la parte reclamada con fecha de 9 de junio de 2025, no se han presentado alegaciones frente a la misma. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Con fecha de 13 de diciembre de 2023 el reclamante recibió un correo electrónico del departamento laboral de la empresa en la que trabajaba, LOSSCHLAGEN, en el que se le informaba de que les había sido comunicada una diligencia de embargo de su salario por parte de la AEAT en virtud de la cual se procederá a practicar la correspondiente deducción de la nómina a partir del mes siguiente, en el que se incluían en copia a dos personas de la empresa y se daban a conocer los siguientes datos personales que constan acreditados en la documentación aportada por el reclamante mediante escrito de fecha de 23 de enero de 2024: - Copia del correo electrónico remitido con fecha de 13 de diciembre de 2023 por el departamento de laboral de la reclamada desde la dirección de correo ***EMAIL.1 al reclamante (***EMAIL.2), en el que aparecen en copia dos direcciones de correo de GMAIL (***EMAIL.3 y ***EMAIL.4), en el que aparece visible la dirección de correo electrónico del reclamante y se le informa de la recepción de la diligencia de embargo, que se adjunta, y de que se va a proceder a descontarle la parte correspondiente a partir de la siguiente nómina. - La primera página de la diligencia de la AEAT de 12 de diciembre de 2023, de embargo en el que se hace constar el nombre, apellidos, NIF y domicilio del reclamante como obligado al pago, y a la reclamada como pagador. SEGUNDO: La empresa reclamada manifiesta que el reclamante prestaba sus servicios en la sede de Fuerteventura en el momento en el que se remitió el correo electrónico citado (si bien su contrato laboral no fue renovado y ya no formaba parte de la plantilla en el momento en que se interpuso la reclamación). Y que las dos personas que aparecen en copia del correo electrónico son empleados de la empresa que precisaban conocer estos datos al objeto de poder cumplir con las funciones que tenían encomendadas en la empresa: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/14 En el escrito de contestación al traslado de 26 de abril de 2024, la reclamada manifiesta que se pone en copia a los siguientes empleados de la empresa: - - El correo ***EMAIL.4 pertenece a “la persona que se encarga de la gestión de tareas de naturaleza fiscal y contable en el seno de la reclamada. Entre ellas, la confección y verificación de nóminas de los trabajadores de su el correo electrónico zona de influencia, en la que se incluye la isla de Fuerteventura” Y el correo “***EMAIL.3” pertenece a: “***PUESTO.1 de la empresa en Fuerteventura, isla en la que el reclamante presta sus servicios y desarrolla su actividad laboral. Se incluye a esta destinataria en la comunicación por su relación profesional con el reclamado, siendo su supervisora directa, y a efectos de contar con un tercero que forma parte de la empresa, para acreditar que la comunicación se ha practicado de forma efectiva”. En el escrito de alegaciones al acuerdo de inicio de 30 de agosto de 2024, se amplía esta información, aclarando que: “Las dos personas puestas en copia son responsables de zona para Fuerteventura y Lanzarote. LOSSCHLAGEN un tiene un departamento laboral en cada isla y los coordinadores ocupan funciones de gestión y coordinación para las islas de las que son responsables. Dado que la sede principal y de gestión de LOSSCHLAGEN se encuentra en Tenerife, estas personas tienen encomendadas labores de apoyo a la sede central que palian los efectos negativos de la insularidad.” Entre otras funciones, en el ámbito laboral su apoyo comprende las siguientes funciones: “Confección y revisión de nóminas de su zona de influencia. Gestión de la actividad diaria del trabajador”, lo que “es de conocimiento del empleado desde el inicio ya que todo el proceso de contratación y la coordinación diaria de la zona del interesado son gestionados por estos dos empleados de LOSSCHLAGEN”. En el caso concreto de ***PUESTO.1 de Fuerteventura (correspondiente a la dirección del correo ***EMAIL.3), se señala que debía conocer la práctica del embargo, dado que: “la misma contabiliza horas de trabajo, la relación diaria con los trabajadores y entre sus funciones también está la de revisión de nóminas y de la situación jurídica de los trabajadores, debiendo hacer los cálculos necesarios de la nómina si hubiera accedido al email o ante la queja del empleado.” TERCERO: Se acompaña como Anexo I del mencionado escrito de alegaciones al acuerdo de inicio copia de dos correos electrónicos intercambiados entre el reclamante y ambos destinatarios del correo, en acreditación de las funciones ejercidas por estas dos personas y su conocimiento e intercambio habitual de comunicaciones con los mismos por el reclamante: (
7. i)correo remitido desde la dirección de correo electrónico del reclamante al correo ***EMAIL.3 con fecha de 22 de marzo de 2024 con el asunto “vacaciones 2024 (parte proporcional y cumplimiento de cuadrante de servicios”, en el que aparecen visibles tanto la dirección de correo electrónico, como nombre y apellidos y teléfono móvil del reclamante (
8. ii)y el correo electrónico de 3 de mayo de 2024 remitido por el reclamante a los correos electrónicos ***EMAIL.1; ***EMAIL.4, y ***EMAIL.3, con asunto “escrito” en el que se “adjunta escrito para su cumplimiento” y aparecen también estos mismos datos reseñados en el correo anterior. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/14 I Competencia y procedimiento De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El nombre, apellidos, NIF, dirección de correo electrónico y domicilio de una persona física se consideran datos personales cuyo tratamiento se somete al régimen previsto en el RGPD, así como a sus disposiciones de desarrollo, de acuerdo con lo previsto en el artículo 4. 1, 2, y 7 el RGPD, que dispone lo siguiente: “Artículo 4 Definiciones A efectos del presente Reglamento se entenderá por: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;(…) 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/14 miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros (…)” La remisión del correo electrónico de 13 de diciembre de 2023, al que se refiere el presente procedimiento, desde el correo electrónico corporativo del departamento laboral de la empresa reclamada (***EMAIL.1), fue una operación de tratamiento de los datos personales que se contenían en el mismo en el sentido expuesto en el artículo 4.2 del RGPD, puesto que supuso un acceso y una comunicación o divulgación de los datos personales de 1 de sus empleados (el reclamante) a otros dos empleados de la empresa que se hallaba en copia del correo, puesto que quedaron expuestos y visibles para los mismos los siguientes datos personales: Nombre, apellidos, NIF, dirección, y correo electrónico personal del reclamante (***EMAIL.2). Así como los datos económicos contenidos en la diligencia de embargo referidos al importe de deuda y cantidad a retener. A la vista de la instrucción practicada, se confirma que el correo electrónico fue remitido por la empresa reclamada al reclamante, en cumplimiento de las instrucciones previstas en la misma para el caso en que se reciban órdenes de embargo que impliquen la retención de la nómina de sus empleados, señalando que en el momento en que se remitió dicho correo electrónico el reclamante prestaba servicios en la zona de Fuerteventura, por lo que se remitió el referido correo electrónico y su adjunto. También se manifiesta por la reclamada en su escrito de alegaciones al acuerdo de inicio y se acredita mediante la aportación de dos correos electrónicos, que la empresa utiliza habitualmente en el ámbito de sus comunicaciones internas los dominios losschagen.com y gmail.com que constan en el correo electrónico de 13 de diciembre de 2023, y que existía un intercambio habitual de correos entre el reclamante y las dos personas que se hallaban en copia de los correos. De acuerdo con lo establecido en el artículo 4, apartados 1, 2 y 7 del RGPD, de las evidencias obrantes en el procedimiento se deduce que la empresa reclamada, como empleadora que ha actuado a través de su departamento laboral, es la responsable del tratamiento de los datos personales de sus empleados, puesto que es la que ha fijado fines y medios de estas operaciones de tratamiento de acuerdo con lo previsto en el artículo 4.7 del RGPD. Toda vez que la reclamada manifiesta que se ha actuado conforme a las instrucciones y como es habitual en estos casos dentro de la empresa. En consecuencia, la entidad reclamada, LOSSCHAGEN, es la presunta responsable al que debe dirigirse el presente procedimiento sancionador de acuerdo con lo previsto en el artículo 70. 1
9. a)de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de derechos digitales (en adelante, LOPPDD): “Artículo 70. Sujetos responsables. 1. Están sujetos al régimen sancionador establecido en el Reglamento (UE) 2016/679 y en la presente ley orgánica:
10. a)Los responsables de los tratamientos.
11. b)Los encargados de los tratamientos.
12. c)Los representantes de los responsables o encargados de los tratamientos no establecidos en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/14 territorio de la Unión Europea.
13. d)Las entidades de certificación.
14. e)Las entidades acreditadas de supervisión de los códigos de conducta. (…)”. III Contestación a las Alegaciones formuladas. La reclamada presentó alegaciones frente al acuerdo de inicio, en las que centró sus manifestaciones en afirmar que las dos personas que aparecen en copia del correo electrónico cuestionado son empleados de la empresa que precisaban conocer los datos incluidos en el correo al objeto de poder cumplir con las funciones que tenían encomendadas en la empresa. Se podría decir que aporta evidencias de un nuevo motivo por el cual la encargada del área de Fuerteventura fue puesta en copia del correo electrónico, acompañando evidencias de ello, que son de relevancia al objeto de determinar su falta de responsabilidad en el supuesto presente. Tras haber manifestado la reclamada en su escrito de contestación al traslado de la reclamación, de 26 de abril de 2024, que las personas cuyo correo fue incluido en copia como destinatarios eran dos empleados de la empresa que debían conocer el contenido del citado correo electrónico, de 13 de diciembre de 2023 que contenía los datos personales del mismo y la Diligencia de Embargo a efectos de practicar su retención en la nómina, se dictó Acuerdo de Inicio del presente expediente sancionador, toda vez que la reclamada había justificado que el primero los destinatarios (***EMAIL.4) era el empleado encargado, entre otras cosas, de las tareas contables, entre las que se encontraba la de practicar la retención de la nómina por lo que se entendió justificado que éste debiera conocer los datos personales del reclamante y los contenidos en la referida Diligencia para poder cumplir con sus funciones, máxime en este caso en el que estamos en presencia del cumplimiento de una obligación legal ante la Agencia Estatal Tributaria. Pero no se justificó el motivo por el que fue incluida en copia del correo la segunda destinataria del mismo, (***EMAIL.3). Así pues, en dicho escrito inicial de contestación al traslado realizado por esta Agencia, la empresa no justificó adecuadamente los motivos por los que se había puesto en copia a la que señalaba como “superior jerárquica directa” o “supervisora” del reclamante en Fuerteventura (***EMAIL.3), respecto de la que se señalaba lo siguiente: - “Por otra parte, C.C.C. (***EMAIL.3) ***PUESTO.1 de la empresa en Fuerteventura, isla donde el reclamante desarrolla su actividad. profesional y, por tanto, supervisora directa del mismo. Los supervisores son habitualmente incluidos en las comunicaciones remitidas a los trabajadores, bien porque éstas están relacionadas con asuntos que deben ser de su conocimiento, bien a fin de que actúen como terceros que puedan acreditar que la comunicación ha sido entregada y recibida correctamente.” - “***PUESTO.1 de la empresa en Fuerteventura, isla en la que el reclamante presta sus servicios y desarrolla su actividad laboral. Se incluye a esta destinataria en la comunicación por su relación profesional con el reclamado, siendo su supervisora directa, y a efectos de contar con un tercero que forma C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/14 parte de la empresa, para acreditar que la comunicación se ha practicado de forma efectiva”. A la vista de estas manifestaciones iniciales, se dictó Acuerdo de Inicio de Expediente Sancionador, por considerar que los hechos descritos por la propia reclamada podrían constituir una vulneración del artículo 5.1.
15. f)del RGPD, señalando que: “En este sentido, puede entenderse justificable que por el perfil que ostenta en la empresa el responsable de la confección de la nómina, éste precise conocer todos los datos incluidos en la diligencia de embargo para poder practicar la retención del sueldo en la cantidad y términos que ésta indica, a los que tiene acceso para el ejercicio de sus funciones dentro de la empresa. Pero la comunicación de la retención del sueldo ordenado por esta diligencia de embargo a la supervisora del reclamante “para poder dar fe de la recepción de esta comunicación al interesado”, junto con los datos personales que aparecían visibles en dicha comunicación se considera una divulgación ilícita o comunicación no autorizada de datos personales, puesto que a la vista de su perfil o funciones en la empresa, se entiende que no es necesario que ésta conozca que se ha embargado el sueldo del reclamante, y tampoco dispone de los poderes fedatarios que serían precisos para que ésta pudiera dar fe de esta recepción a efectos legales. Esto es, su intervención no es adecuada ni necesaria para cumplir con la finalidad pretendida por la entidad reclamada, puesto que no solo existen otros medios técnicos que pueden arbitrarse en la remisión de correos electrónicos para tener “constancia de la recepción del correo electrónico” por el reclamante (remisión con acuse de recepción), sino que además de ello, a efectos legales los medios que permiten tener esta constancia son los previstos en la legislación aplicable a la notificación de estas diligencias de embargo, que no incluye poner en copia de un correo a un superior jerárquico como medio de acreditación de la notificación”. En su escrito de alegaciones al acuerdo de inicio, la reclamada esclarece y amplia la versión inicial, señalando que ***PUESTO.1 de Fuerteventura fue incluida en copia del citado correo, no porque debiera tener constancia a efectos de probar que se había comunicado al reclamante esta retención en nómina, sino porque era la superior jerárquica de la zona de Fuerteventura -que es el área de influencia donde ejercía sus funciones el reclamante-, que tenía entre sus funciones la de supervisar la confección de las nóminas, lo que sí justificaría, en su caso, que fuera conocedora de los datos personales incluidos en la Diligencia de Embargo para poder cumplir con las funciones de supervisión que tiene encomendadas. Así pues, en su escrito de alegaciones frente al Acuerdo de Inicio la reclamada pone en conocimiento los siguientes hechos que se desconocían hasta el momento: - Aclara cuales eran las funciones de las dos personas puestas en copia en su alegación tercera, cuando indica que: “Las dos personas puestas en copia son responsables de zona para Fuerteventura y Lanzarote. LOSSCHLAGEN un tiene un departamento laboral en cada isla y los coordinadores ocupan funciones de gestión y coordinación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/14 para las islas de las que son responsables. Dado que la sede principal y de gestión de LOSSCHLAGEN se encuentra en Tenerife, estas personas tienen encomendadas labores de apoyo a la sede central que palian los efectos negativos de la insularidad. Entre otras funciones, en el ámbito laboral su apoyo comprende las siguientes funciones: o Selección de personal y propuesta de contratación. o Gestión de formalización de contratos. o Entrega de uniformes y artículos de trabajo. o Confección y revisión de nóminas de su zona de influencia. Gestión de la actividad diaria del trabajador. o Atención al usuario (trabajador) y coordinación con otros empleados, y la central. o Comunicación y coordinación con clientes y otros interesados. o Gestión de coordinación empresarial con clientes. Esto es de conocimiento del empleado desde el inicio ya que todo el proceso de contratación y la coordinación diaria de la zona del interesado son gestionados por estos dos empleados de LOSSCHLAGEN”. - En su alegación quinta, vuelven a hacer referencia a esta cuestión señalando que se cometió un error en el escrito anterior al no informar adecuadamente de esta cuestión, indicando que: “Sentimos no haber detallado desde el inicio todas las funciones del personal y con ello dar lugar a una. concepción. errónea sobre los procedimientos de LOSSCHLAGEN”. Al referirse a los datos que deben tenerse en cuenta a la hora de graduar la sanción, señala que: “(
16. i)que los datos que ya eran conocidos por los destinatarios (como se expuso al inicio), (
17. ii)que, respecto al embargo, el mismo debía conocerse por los destinatarios dado el ejercicio de sus funciones que ahora se aclaran mediante este escrito; (iii) y que, aunque se dijera así en el escrito de contestación al traslado, no hubo intención ni finalidad de considerar a ***PUESTO.1 únicamente como un medio de prueba de haber comunicado al interesado la notificación de embargo. Su puesta en copia está relacionada con las funciones que ella realiza para la empresa. “ A la vista de estas afirmaciones, y los dos correos electrónicos aportados como Anexo I, cabe deducir que ambos empleados fueron incluidos en copia del citado correo porque precisaban ser conocedores de la práctica de la Diligencia de Embargo, toda vez que: (
18. i)la dirección de ***EMAIL.3 pertenecía a ***PUESTO.1 de la empresa en Fuerteventura, isla donde el reclamante desarrolla su actividad profesional y, por tanto, supervisora directa del mismo, que debía supervisar la confección de la nómina y dar su aprobación a la misma; y (
19. ii)respecto al correo de ***EMAIL.4, además de ser ***PUESTO.2 de la zona de Lanzarote, según el escrito de contestación al traslado era también “la persona que se encarga de la gestión de tareas de naturaleza fiscal y contable en el seno de la reclamada. Entre ellas, la confección y verificación de nóminas de los trabajadores de su el correo electrónico zona de influencia, en la que se incluye la isla de Fuerteventura.” Si bien es cierto que no se aporta el contrato laboral de ambos empleados ni el del reclamante, de los citados correos electrónicos puede deducirse que el reclamante y ambos empleados intercambiaban correos electrónicos y que el reclamante conocía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/14 que las dos personas citadas debían supervisar y ser conocedores de las actuaciones que estaban relacionadas con la confección de la nómina, para lo que era necesario conocer sus datos personales. Por estos motivos, la Propuesta de Resolución propuso el archivo del expediente, sin que se hayan presentado nuevas alegaciones frente a la misma. En virtud de ello, a raíz de las nuevas manifestaciones y evidencias aportadas por la empresa reclamada, se considera que procede el archivo de la infracción imputada en el acuerdo de inicio, toda vez que se considera que no ha habido vulneración de confidencialidad, al ponerse en copia del correo electrónico de 13 de diciembre de 2023 dirigido al reclamante a las dos personas antes citadas, toda vez que las mismas estaban legitimadas para conocer los datos personales y la práctica del embargo y retención en nómina, por ser necesario para el ejercicio de sus funciones. IV Conclusión De conformidad con las evidencias de las que se dispone, tras el análisis realizado sobre los documentos aportados por la entidad reclamada, se puede constatar que no existen evidencia de la vulneración del artículo 5.1.
20. f)del RGPD, por parte de la entidad reclamada, en el envío del correo electrónico de 13 de diciembre de 2023 al reclamante, por lo que se procede emitir resolución de archivo del presente procedimiento. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: PROCEDER AL ARCHIVO del presente procedimiento sancionador, por no concurrir evidencias de vulneración del artículo 5.1.
21. f)del RGPD. SEGUNDO: NOTIFICAR la presente resolución a LOSSCHLAGEN ,S.L.. TERCERO: De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/14 Finalmente, se señala que conforme a lo previsto en el art. 90.3
22. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-250625 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es