1/7 Procedimiento Nº: PS/00231/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 2 de febrero de 2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra UNIÓN SINDICAL OBRERA con NIF G28567402 (en adelante, el reclamado). Los motivos en que basa la reclamación son el envío por correo electrónico del censo electoral para las elecciones sindicales a celebrar el 26/02/2020, llevado a cabo por la sección sindical de UNION SINDICAL OBRERA de su centro de trabajo. El reclamante considera que deben contar con su consentimiento para este tratamiento de datos, y él no lo ha concedido. El envío se ha realizado, según comenta, a "afiliados y simpatizantes del propio sindicato". En el censo electoral, que se aporta, se observan los siguientes datos personales: DNI, nombre y apellidos, fecha de nacimiento y fecha de antigüedad en el centro. Junto a la reclamación aporta copia del correo electrónico procedente de USO acompañando censo electoral. SEGUNDO: A la vista de los hechos denunciados, con fecha 3 de junio de 2020 se dio trasladó de la presente reclamación a la reclamada que manifiesta que el tratamiento de los datos personales de la lista provisional de electores se encuentra suficientemente legitimado en el apartado 6.1.c del RGPD, no necesitando consentimiento del interesado. Para fundamentar dicho tratamiento citan los arts. 16 y 26 de la Ley 9/1987 de 12 de junio, de Órganos de Representación, Determinación de las Condiciones de Trabajo y Participación del Personal al Servicio de las Administraciones Públicas, en conexión con el art. 14 del Real Decreto 1846/1994, de 9 de septiembre, por el que se aprueba el Reglamento de elecciones a órganos de representación del personal al servicio de la Administración General del Estado. Son conscientes de que no existe obligación explícita de enviar el censo por correo electrónico, tratamiento que podría encontrar acomodo en el art. 6.1.f (interés legítimo). Considera que el tratamiento objeto de este procedimiento no causa ningún perjuicio sobre los derechos y libertades del afectado o reclamante. El sindicato considera que el correo electrónico es el medio más adecuado para difundir la lista provisional de electores, debido a la deslocalización de parte del personal del centro de trabajo, no les parece que el tablón de anuncios sea suficiente para publicar la información. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 En cambio, a través del e-mail se consigue una difusión adecuada de la lista provisional de electores y se facilita su revisión por parte de los interesados, así como la presentación de reclamaciones, con el fin último de garantizar el ejercicio de su derecho al voto en las elecciones convocadas (arts. 15 y 27 Ley 9/1987). Lo ven idóneo para la finalidad que persigue, por su sencillez y capacidad de difusión entre los destinatarios a los que se dirige la comunicación; y, por último, proporcional, dado que el impacto sobre los derechos del reclamante, según alegan, es idéntico o muy similar al que se produce mediante la publicación de la lista provisional en el tablón de anuncios del centro de trabajo, ya que las categorías de datos implicadas y los terceros interesados con potencial acceso a dicha información, deberían ser en esencia, los mismos. A pesar de ello, como medidas a adoptar para evitar el incidente, mencionan la revisión de los protocolos internos sobre comunicación y/o publicación de datos de carácter personal en el marco de la celebración de elecciones sindicales, centrándose en: categorías de datos implicados; bases jurídicas que confieren legitimación (obligación legal, relación contractual, consentimiento, interés legítimo); medios a emplear y medidas de seguridad básicas a implementar durante el tratamiento de los datos (soportes automatizados y no automatizados). También proponen acciones formativas específicas para el personal al servicio de la organización sindical, con el objetivo de sensibilizar y dotar de los conocimientos necesarios, de cara al tratamiento de datos no solamente de afiliados o simpatizantes, sino de otros titulares. Los temas serían: publicación de listados en tablón de anuncios, elecciones sindicales y envío de comunicaciones vía electrónica. Pese a todo, el reclamado no considera que esté cometiendo infracción, aunque sí que tienen pensado revisar los protocolos internos sobre esta cuestión, en lo que se refiere a datos publicados, bases jurídicas y medios a utilizar (muy claro no lo deben tener, si van a revisar los protocolos). TERCERO: Con fecha 1 de septiembre de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 5.1.f) del RGPD, tipificada en el artículo 83.5 del RGPD. CUARTO: Notificado el citado acuerdo de inicio, el reclamado presentó escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: “Respecto a las categorías de datos tratados, cabe destacar que no se aprecian categorías de datos especialmente protegidos, o dotados de mayor criticidad, correspondiéndose únicamente con tipologías básicas de información (nombre, apellidos, fecha de nacimiento, documento nacional de identidad y antigüedad). De otra parte, las citadas categorías de datos, recogidas en el censo electoral, son las especificadas en el art. 14.1 del RD 1846/1994, reglamento de desarrollo de la Ley 9/1987, de 12 de junio, de Órganos de Representación, Determinación de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 Condiciones de Trabajo y Participación del Personal al Servicio de las Administraciones Públicas, normativa encargada de regular la convocatoria de elecciones a los órganos de representación en el ámbito de la función pública. En relación con el medio empleado para comunicar los datos del censo electoral, conviene señalar que el uso del correo electrónico como medio de difusión, si bien pudo considerarse por parte del personal encargado del envío un medio útil y práctico para la finalidad perseguida (lograr una adecuada difusión a causa de la deslocalización existente), constituye un hecho aislado, sin que dicho procedimiento se encuentre previsto en los protocolos internos de la organización reclamada, ni represente el cauce habitual de notificación para este tipo de convocatorias. Con anterioridad al traslado de la presente reclamación, la organización sindical ya había elaborado un compromiso de confidencialidad para facilitarlo a los delegados de las secciones sindicales de la región afectada, el cual se adjunta en el escrito de alegaciones. Además, con el objetivo de evitar la reiteración de conductas de estas características, así como prevenirlas se han tomado las siguientes medidas: • Elaborar y remitir una circular a los delegados y secciones sindicales, reiterando los principios del RGPD y las pautas a respetar en relación con la comunicación de datos personales a raíz de convocatorias de elecciones sindicales. • Incluir un apartado específico sobre esta casuística en la próxima formación a impartir por el DPD antes de finalizar el presente año
(2020).” QUINTO: Con fecha 27 de octubre de 2020, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, E/02282/2020, así como los documentos aportados por el reclamado. SEXTO: Con fecha 3 de noviembre de 2020, se formuló propuesta de resolución, proponiendo que se sancione al reclamado con una sanción de apercibimiento, por la infracción del artículo 5.1.f) del RGPD, tipificada en el artículo 83.5 del RGPD. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: La sección sindical de UNION SINDICAL OBRERA realiza el envío por correo electrónico del censo electoral del centro de trabajo del reclamante, como consecuencia de las elecciones sindicales celebradas el 26 de febrero de 2020. SEGUNDO: El reclamado ha adoptado medidas para evitar la reiteración de conductas de estas características, así como prevenirlas elaborando y remitiendo una circular a los delegados y secciones sindicales, indicando los principios del RGPD y las pautas a respetar en relación con la comunicación de datos personales a raíz de convocatorias C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 de elecciones sindicales, incluyendo un apartado específico sobre esta casuística en la próxima formación a impartir por el DPD antes de finalizar el presente año
(2020). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del RGPD y en los art. 47 y 48.1 de LOPDGDD. II El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales. Por su parte, el artículo 5 del RGPD establece que los datos personales serán: “
- a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);
- b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);
- d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);
- e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 III De conformidad con las evidencias de las que se dispone en el presente momento, se considera que los hechos conocidos, es decir, el envío por correo electrónico del censo electoral a "afiliados y simpatizantes del propio sindicato", donde se indican los siguientes datos personales: DNI, nombre y apellidos, fecha de nacimiento y fecha de antigüedad en el centro, supone la vulneración del artículo 5.1
- f)del RGPD, que rige los principios de integridad y confidencialidad de los datos personales, así como la responsabilidad proactiva del responsable del tratamiento de demostrar su cumplimiento. IV En virtud de lo establecido en el artículo 58.2 del RGPD, la Agencia Española de Protección de Datos, en cuanto autoridad de control, dispone de un conjunto de poderes correctivos en el caso de que concurra una infracción a los preceptos del RGPD. El artículo 58.2 del RGPD dispone lo siguiente: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
- b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;” (...) “
- d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;” “
- i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;” El artículo 83.5.
- a)del RGPD establece que: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 A su vez, el artículo 72.1
- a)de la LOPDGDD, bajo la rúbrica “Infracciones consideradas muy graves dispone: “En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679.” Esta infracción podría ser sancionada con apercibimiento, de acuerdo con el artículo 58.2.
- b)del RGPD, al recogerse a través de dicho formulario datos básicos de los usuarios y considerar que la multa administrativa que pudiera recaer con arreglo a lo dispuesto en el artículo 83.5.
- a)del RGPD constituiría una carga desproporcionada para el reclamado, cuya actividad principal no está directamente vinculada al tratamiento de datos personales, ya que no consta la comisión de ninguna infracción anterior en materia de protección de datos. V Por otra parte, en el artículo 83.7 del RGPD se dispone que, sin perjuicio de los poderes correctivos de las autoridades de control en virtud del art. 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a UNIÓN SINDICAL OBRERA, con NIF G28567402, por una infracción del artículo 5.1.
- f)del RGPD, tipificada en el artículo 83.5 del RGPD, una sanción de apercibimiento. SEGUNDO: NOTIFICAR la presente resolución a UNIÓN SINDICAL OBRERA. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es