← España

PS-00246-2020

1/7  Procedimiento Nº: PS/00246/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: D. A.A.A. (en adelante el reclamante) con fecha 11/11/2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra GLORY GLOBAL SOLUTIONS SPAIN, S.A. con NIF A78084860 (en adelante el reclamado). Los motivos en que basa la reclamación son que al serle trasladadas las ordenes de trabajo se ha divulgado, en el entorno de la compañía en la que trabaja, su dirección de correo electrónico personal: ***EMAIL.1, al remitir los correos sin utilizar la opción de copia oculta. SEGUNDO: Tras la recepción de la reclamación, la Subdirección General de Inspección de Datos procedió a realizar las siguientes actuaciones: El 28/01/2020, fue trasladada al reclamado la reclamación presentada para su análisis y comunicación al reclamante de la decisión adoptada al respecto. Igualmente, se le requería para que en el plazo de un mes remitiera a la Agencia determinada información: - La decisión adoptada a propósito de esta reclamación. - En el supuesto de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, acreditación de la respuesta facilitada al reclamante. - Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. - Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. - Cualquier otra que considere relevante. No consta en la Agencia contestación al traslado de la reclamación. TERCERO: El 24/07/2020, de conformidad con el artículo 65 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante contra el reclamado. CUARTO: Con fecha 23/10/2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por las presuntas infracciones de los artículos 5.1.

  1. f)y 32.1 del RGPD, sancionadas conforme a lo dispuesto en los artículos 83.5.
  2. a)y 83.4.
  3. a)del citado RGPD. QUINTO: Notificado el acuerdo de inicio, el reclamado en fecha 02/10/2020 presento escrito de alegaciones manifestando en síntesis lo siguiente: que al contrario de lo señalado en el hecho segundo el reclamado trasladó respuesta al requerimiento de información en tiempo y forma el 18/02/2020; que en noviembre el departamento de Servicio Técnico en aras de fomentar la inclusión laboral de los técnicos desplazados y cumpliendo con la solicitud realizada por un grupo de trabajo adoptó la medida de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 organizar mensualmente teleconferencias de carácter informativo y absolutamente voluntario; que la primera de estas convocatorias fue enviada mediante un mail conjunto de 26/11/2019, a todos los Técnicos y Mánagers del Servicio Técnico a través de sus direcciones corporativas; que el mismo día, el reclamante se reenvió dicho correo electrónico a su dirección personal, que así se notifica al responsable, emitiendo un correo automático informando de que la reunión se había reenviado a la dirección de correo personal del reclamante, lo que suponía la inclusión de la dirección de correo personal, entre el listado de personas que más tarde recibirían en sus correos la nota informativa relativa a la misma; que dada la dificultad que suponía convocar a todas las personas interesadas y que pudieran estar presentes en el momento de las videoconferencias, esta empresa se compromete a enviar una nota informativa a todos los convocados para que estos pudieran tener constancia de los temas tratados, así, las direcciones de correo electrónico a las que se reenvían son todas aquellas que constan en la notificación de la convocatoria de la reunión entre las que aparece la dirección de correo personal del reclamante, dirección que el mismo introdujo al reenviarse la convocatoria; que no se ha accedido y mucho menos difundido de forma ilícita la dirección personal de correo electrónico del reclamante toda vez que, es el propio reclamante el que incorpora esta dirección una vez se hubo reenviado la convocatoria, incluyéndose la misma de forma automática en el listado de personas que debían recibir el correo electrónico con la nota informativa sobre la reunión. SEXTO: Con fecha 13/11/2020 se inició un período de práctica de pruebas, acordándose las siguientes Dar por reproducidos a efectos probatorios la reclamación interpuesta por el reclamante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/00101/2020. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00246/2020 presentadas por GLORY GLOBAL. Solicitar al reclamado aportación de los 4 documentos que decía adjuntar al escrito de alegaciones de fecha 02/10/2020 al no constar aportados. En fecha 16/11/2020 el reclamado dio respuesta a la prueba practicada cuyo contenido obra en el expediente. SEPTIMO: El 08/04/2021 fue emitida Propuesta de resolución en el sentido de que se archivara al reclamado, por las supuestas infracciones de los artículos 5.1.
  4. f)y 32.1 del RGPD tipificadas en los artículos 83.5.
  5. a)y 83.4.
  6. a)del RGPD. No obstante se requirió al reclamado para que adoptara medidas para modificar adecuadas para la configuración de las convocatorias a fin de que no se permitieran los reenvíos de las mismas a direcciones no corporativas, o bien, para que al recibir el correo de aviso de reenvío a una dirección no corporativa, se eliminara esta dirección de la lista de convocados. El reclamado en escrito de 20/04/2021 respondió acreditando haber adoptado medidas en relación con la configuración de las convocatorias. OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 HECHOS PROBADOS PRIMERO: El 11/11/2019 el reclamante interpuso escrito de reclamación ante la AEPD manifestado que al serle trasladadas las ordenes de trabajo se ha divulgado, en el entorno de la compañía en la que trabaja, su dirección de correo electrónico personal: ***EMAIL.1, al remitir los correos sin utilizar la opción de copia oculta. SEGUNDO: Constan aportadas cabeceras de los correos electrónicos remitidos. TERCERO: El reclamado en escrito de 02/10/2020 ha manifestado que “no ha accedido y mucho menos difundido de forma ilícita y sin consentimiento, la dirección personal de correo electrónico del reclamante toda vez que, es el propio reclamante el que incorpora esta dirección una vez se hubo reenviado la convocatoria, incluyéndose la misma de forma automática en el listado de personas que debían recibir el correo electrónico con la nota informativa sobre la reunión”. CUARTO: Consta aportada por el reclamado primera Convocatoria mediante un e-mail conjunto de fecha 26/11/2019, a todos los Técnicos y Mánagers del Servicio Técnico a través de sus direcciones corporativas. QUINTO: Consta aportada notificación del reenvío de la convocatoria realizada por el reclamante a su dirección personal, ***EMAIL.1. SEXTO: El reclamado ha señalado que se había comprometido “a enviar una nota informativa a todos los convocados para que estos pudieran tener constancia de los temas tratados” y que “las direcciones de correo electrónico a las que se reenvían son todas aquellas que constan en la notificación de la convocatoria de la reunión entre las que aparece la dirección de correo personal del reclamante, que el mismo introdujo al reenviarse la convocatoria”. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II En primer lugar, el artículo 5 del RGPD establece los principios que han de regir el tratamiento de los datos personales y menciona entre ellos el de “integridad y confidencialidad”. El citado artículo señala que: “1. Los datos personales serán: (…)
  7. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)”. (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 El artículo 5, Deber de confidencialidad, de la nueva Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), señala que: “1. Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
  8. f)del Reglamento (UE) 2016/679. 2. La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable. 3. Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento”. III En segundo lugar, el artículo 32 del RGPD “Seguridad del tratamiento”, establece que: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  9. a)la seudonimización y el cifrado de datos personales;
  10. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  11. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  12. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 IV En el presente caso, el procedimiento trae causa como consecuencia de la divulgación en el entorno de la compañía en la que trabaja el reclamante, de su dirección de correo electrónico personal: ***EMAIL.1, al ser remitido correo sin utilizar la función/opción de copia oculta y en la que cada destinatario puede ver al resto de destinatarios. El reclamado en su respuesta a este organismo ha señalado que el departamento de Servicio Técnico para fomentar la inclusión laboral de los técnicos desplazados y atendiendo la solicitud realizada por un grupo de trabajo de la compañía GPTW, se adoptó la medida de organizar mensualmente teleconferencias de carácter informativo y absolutamente voluntario. La primera de estas convocatorias se realiza mediante un mail conjunto a todos los Técnicos y Mánagers del Servicio Técnico a través de sus direcciones corporativas y ese mismo día, el reclamante se reenvía la convocatoria de la reunión a su dirección personal, ***EMAIL.1; el servicio de correos electrónico de Microsoft Outlook así se lo notifica al convocante, que emite un correo automático informando de que la reunión se había reenviado a la dirección de correo personal del reclamante. Esa acción del reclamante supone la inclusión de su dirección de correo personal entre el listado de personas que más tarde recibirían en sus correos la nota informativa relativa a la misma. Según el reclamado dada la dificultad que suponía convocar a todas las personas interesadas y que pudieran estar presentes en el momento de las videoconferencias, esta empresa se compromete a enviar una nota informativa a todos los convocados para que estos pudieran tener constancia de los temas tratados, así, las direcciones de correo electrónico a las que se reenvían son todas aquellas que constan en la notificación del a convocatoria de la reunión entre las que aparece la dirección de correo personal del reclamante, dirección que el mismo introdujo al reenviarse la convocatoria. Hay que señalar que, sin entrar en detalles de carácter técnico, algunas herramientas informáticas o aplicaciones cuando un convocado reenvía la reunión a otro buzón de correo, la dirección de correo del destinatario pasa a incluirse entre los asistentes de manera que las posibles informaciones adicionales previas (cambio de hora, cancelación, material preparatorio, etc.) o bien los documentos que se deriven de lo acordado en la reunión (actas, informaciones, plan de trabajo, etc.) se comunican igualmente de forma automática a los participantes añadidos. Por tanto, fue la actuación de reenvío llevada a cabo por el reclamante la que provoco que se le direccionaran o remitieran los correos electrónicos relativos a la reunión a su buzón personal (lugar al que había reenviado la reunión convocada). Además, el propio reclamado ha señalado que de haber recibido la solicitud del reclamante requiriéndole a que eliminara su dirección personal que fue incorporada a la lista de direcciones de correo de los convocados por el reenvío realizado por el propio afectado, se habría suprimido el dato en cuestión de manera inmediata de conformidad con el artículo 17 del RGPD. No obstante, se requirió al reclamado para que antes de emitir la presente resolución adoptara medidas a fin de modificar la citada configuración para que en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 supuestos de casos similares no se permitieran los reenvíos de convocatorias a direcciones no corporativas, o bien, para que al recibir el correo de aviso de reenvío a una dirección no corporativa, se eliminara esta dirección de la lista de convocados sin necesidad de tener que solicitarlo el reclamante. El reclamado en escrito de 20/04/2021 ha acreditado haber adoptado medidas adecuadas bloqueando el permiso de reenvío en el correo electrónico que se envíe desde cualquier cuenta corporativa, así como la inclusión de una Nota Informativa en el cuerpo de la convocatoria prohibiendo la distribución del contenido tanto de los correos electrónicos como de la propia reunión: “Queda completamente prohibida la distribución, ya sea digital o físicamente, de cualquier información relacionada con la compañía que se facilite antes, durante y posteriormente a la reunión. Se prohíbe cualquier uso de esta información que no sea la mera consulta y visualización de la misma. En ningún caso se permitirá compartir la información (reenviar la convocatoria) con personas/emails ajenos a la compañía.” Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR a GLORY GLOBAL SOLUTIONS SPAIN, S.A., con NIF A78084860, por la supuesta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4.
  13. a)del RGPD. SEGUNDO: ARCHIVAR a GLORY GLOBAL SOLUTIONS SPAIN, S.A., con NIF A78084860, por la supuesta infracción del artículo 5.1.
  14. f)del RGPD, tipificada en el artículo 83.5.
  15. a)del RGPD TERCERO: NOTIFICAR la presente resolución a GLORY GLOBAL SOLUTIONS SPAIN, S.A. con NIF A78084860. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  16. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.