← España

PS-00270-2023

1/16 Expediente Nº: EXP202103980 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 2 de octubre de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a SINDICATO LIBRE DE TRANSPORTE (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202103980 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 29 de septiembre de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. En dicha reclamación, la parte reclamante ponía de manifiesto que un miembro del SINDICATO LIBRE DE TRANSPORTES (en adelante XXX) había difundido en un grupo de Whatsapp una versión modificada de su nómina, para ilustrar ante los demás miembros de la sección sindical en la empresa CON AIR BUSINESS CLASS S.L., como quedarían las cantidades asociadas a los distintos conceptos si se adoptara el nuevo convenio. Esta acción ha tenido lugar sin consentimiento de la persona titular de la nómina, para la que supondría un perjuicio a su honor personal y profesional, ya que se han visto expuestos datos privados como su DNI o su número de la Seguridad Social. La parte reclamante culpa también a la empresa que gestiona y custodia las nóminas, ***NÓMINAS.1, por haber contribuido voluntaria o involuntariamente a la filtración del documento. La parte reclamante manifiesta que ha tenido conocimiento del hecho, el 5 de marzo de 2021, gracias a otro miembro del grupo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 La reclamación viene acompañada de una copia de la nómina expuesta en el grupo de WhatsApp, que fue modificada por el miembro del sindicato, así como la original. También se ofrece captura de pantalla del grupo de WhatsApp "XXX-***NÓMINAS.1" en la parte de la conversación donde fue difundida la nómina, y vídeo tomado en el momento de consultar el grupo de WhatsApp. Junto a la notificación se aporta: - Nómina de la parte reclamante de fecha febrero de 2021, en la que figura nombre y apellidos, DNI Número de afiliación a la Seguridad Social, categoría profesional, puesto, grupo de cotización y antigüedad junto con datos salariales. - Nómina de la parte reclamante de fecha enero de 2021, en la que figuran los datos mencionados y unos datos salariales distintos. La parte reclamante manifiesta que esta nómina está manipulada. - Impresión de pantalla del mensaje de WhatsApp donde se expone una parte de una nómina y se adjunta un fichero pdf denominado “NUEVO CONVENIO.pdf” remitido por “XXX ***NÓMINAS.1” en fecha 5 de marzo de 2021. - Video donde se visualiza el mensaje de Wsp y se muestra el contenido del documento “NUEVO CONVENIO.pdf” que corresponde a la nómina de la parte reclamante modificada. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a XXX, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 10 de noviembre de 2021 como consta en el acuse de recibo que obra en el expediente. Con fecha 10 de diciembre de 2021 se recibe en esta Agencia escrito de respuesta indicando, entre otras cuestiones, que los hechos descritos “han sido fruto de un error humano de una persona trabajadora de la organización, que ha difundido la nómina de la persona afectada contraviniendo sus políticas y demostrando una carencia absoluta de profesionalidad” TERCERO: En fecha 13 de diciembre de 2021, tras analizarse la documentación que obraba en el expediente, se dictó resolución por la directora de la Agencia Española de Protección de Datos, acordando la no admisión a trámite de la reclamación. La resolución fue notificada a la parte reclamante en fecha 17 de diciembre de 2021, según aviso de recibo que figura en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 CUARTO: En fecha 10 de enero de 2022, la parte reclamante interpone recurso potestativo de reposición (RR/00020/2022) a través del Registro Electrónico de la AEPD, contra la resolución recaída en el expediente EXP202103980, en el que muestra su disconformidad con la resolución recaída, en el sentido de que XXX no informa sobre la manera en que tuvo acceso a su nómina, ya que la parte reclamante no tiene relación con él, y manifiesta además que el sindicato no tiene representación en la empresa. QUINTO: En fecha 2 de agosto de 2022 se remitió el recurso interpuesto al XXX y a la empresa CON AIR en el marco de lo establecido en el artículo 118 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, a los efectos de que formulasen alegaciones y presentasen los documentos y justificantes que estimasen procedentes. La notificación del trámite de audiencia se produjo, en el caso del XXX en fecha 3 de agosto de 2022, y en el caso de CON AIR en fecha 12 de agosto de 2022, a través del servicio de notificaciones electrónicas, según certificado que figura en el expediente. En fecha 18/08/2022 se recibe contestación del XXX en el que se hace referencia a la contestación remitida por el Sindicato en fechas 10 y 25 de diciembre de 2021 y en los que se pone de manifiesto: - El Sindicato ha creado el grupo de WhatsApp con el consentimiento de los afiliados y trabajadores autorizados. -Un empleado autorizado del Sindicato envío un simulacro de nómina sin contar con autorización y sin anonimizar incumpliendo las instrucciones al respecto. -El Sindicato manifiesta que el origen de los datos para la elaboración de la simulación de la nómina ha sido obtenido del programa de simulación utilizado habitualmente y que los datos del programa son obtenidos de las distintas reuniones que se producen en el normal desarrollo de la actividad sindical, en concreto, en las reuniones practicadas en el ámbito de las negociaciones colectivas. -Asimismo, manifiesta que la nómina cuenta mayoritariamente con información que no se corresponde con la realidad, pues el objeto de la misma era la simulación del resultado económico del escenario planteado en la negociación colectiva. -El Sindicato ha informado de las medidas adoptadas al recibir el traslado de la reclamación. En cuanto a las medidas: - Pidió disculpas al reclamante - Designó un DPD - Envió un comunicado sobre el DPD - Envió una circular a los trabajadores - Reenvió la política de uso de los sistemas de información - Difundió una guía de buenas prácticas - Realizó formación a sus empleados -Aporta política de protección de datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 Con fecha 20/09/2022 se recibe contestación de la empresa CON AIR en la se informa de: -La entidad mantiene diversos litigios con la parte reclamante (documento del 1 al 3). -El administrador único de CON AIR era la entidad MERIT CONSULTORES SL (MERIT) que es parte del grupo de empresas de XXX ***NÓMINAS.1 MOBILITY MADRID SL (***NÓMINAS.1)y tenía delegada toda la gestión administrativa, laboral y bancaria en ***NÓMINAS.1 desde la constitución de la sociedad en 2016 para que le prestara un servicio integral de gestión, entre los que se encontraba la confección de la nómina y su pago. (documento 4 contrato laboral del reclamante con la entidad donde se informa de que los datos serán tratados por ***NÓMINAS.1) -Desde el día 9/9/2021 ha finalizado la prestación del servicio (Documento nº 5 el certificado de entrega de toda la documentación de CON AIR por parte de ***NÓMINAS.1 al terminar su relación mercantil con el grupo XXXXX-***NÓMINAS.1. SEXTO: La Directora de la Agencia Española de Protección de Datos resuelve estimar el recurso de reposición procediéndose a la apertura de actuaciones previas de inspección en fecha 13 de octubre de 2022. SÉPTIMO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos:  La empresa CON AIR BUSINESS CLASS, S.L. es una sociedad limitada española cuya actividad es “Transporte terrestre urbano y suburbano de pasajeros”. Consta en ASEXOR que tiene 19 empleados y como tipo de empresa figura “Autónoma”. En el Histórico de órganos sociales figura como administrador único MERIT CONSULTORES SL.  La empresa XXX ***NÓMINAS.1 MOBILITY MADRID SL es una sociedad limitada española, filial del Grupo JAP GROUP INVERSIONES Y RECURSOS PATRIMONIALES SL. Constan 20 empleados y su actividad es “Otros tipos de transporte terrestre de pasajeros n c.o.p.”  La entidad MERIT TRANSPORTER SL es una sociedad limitada española, filial del grupo MERIT CONSULTORES SL. Constan 18 empleados y su actividad es “Transporte terrestre urbano y suburbano de pasajeros”. Con fecha 15 de noviembre de 2022 se remite solicitud de información a la empresa CON AIR y de las respuestas recibidas en fechas 13/12/2022 y 09/02/2023 se desprende:  En relación con el origen de la nómina del reclamante la entidad reitera que el 1 de septiembre de 2020 se celebró un contrato de prestación de servicios de gestión total con MERIT incluida la administración de la sociedad, ya que MERIT era administrador único y todos los empleados de CON AIR son conductores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 Consideran que la difusión de la nómina de la parte reclamante se produjo alrededor del 5 de marzo de 2021, fecha en la que el contrato entre las dos entidades estaba vigente. A este respecto la entidad ha aportado copia del contrato suscrito entre MERIT y CON AIR, de fecha 1 de septiembre de 2020, para la prestación de servicios de gestoría y asesoría administrativa y laboral. En el contrato constan cláusulas de Confidencialidad y Protección de Datos. En el apartado de protección de datos figura que el tipo de datos tratados corresponden a: identificativos, características personales, circunstancias sociales, datos profesionales, detalle de empleo, datos económicos, financieros y de seguras. Y en este mismo apartado consta que el encargado realizará las operaciones de: recogida, registro, organización, estructuración, almacenamiento, adaptación, modificación, consulta, utilización, comunicación, restricción, supresión y destrucción (Documento 1). Asimismo, la entidad manifiesta que MERIT forma parte del grupo de empresas ***NÓMINAS.1 y tenía a su vez delegada toda la gestión En la operativa diaria, esto significa que CON AIR se relacionaba directamente con ***NÓMINAS.1, facturando sus servicios directamente a CON AIR.  La entidad ha aportado contrato de trabajo indefinido de la parte reclamante con CON AIR en el que figura una cláusula relativa a la comunicación de datos a ***NÓMINAS.1. “El trabajador consiente que los datos detallados en su curriculum vitae, contrato laboral o cualquier otro documento derivado de la relación laboral, sean tratados por XXX ***NÓMINAS.1 MOBILITY MADRID SL con la finalidad de mantener una relación laboral con la empresa, así como llevar a cabo las gestiones de personal. en caso de producirse alguna modificación de sus datos, el trabajador se compromete a comunicarlos por escrito con la finalidad de mantener actualizados sus datos” (Anexo 2). La entidad manifiesta que no tiene información detallada del origen de la nómina ya que tenían delegado en MERIT y ***NÓMINAS.1. La entidad ha aportado copia del Acta de entrega de la documentación de ***NÓMINAS.1 al finalizar la prestación del servicio, de fecha 9 de septiembre de 2021.  La entidad manifiesta que el programa de simulación para la elaboración de las nóminas no pertenece, ni es utilizado por la compañía. Y respecto de los documentos en papel, en el contrato suscrito con MERIT se hace referencia a la confidencialidad. La custodia de la nómina correspondía a ***NÓMINAS.1.  La entidad ha aportado relación de medidas técnicas y organizativas implementadas en la compañía. Y ha aportado copia del Análisis de Riesgos de los tratamientos de Gestión de Nóminas y Contratos junto con las medidas correctoras. (documento 4). En la respuesta del 09/02/2023, la entidad ha aportado un acuerdo con el reclamante donde admite que CON AIR no es responsable de la filtración de las nóminas entre el grupo de WhatsApp de los miembros del XXX y por tanto ha desistido de la reclamación por lo que solicitan que, al ser el único interesado y no hay terceros afectados, se archive estas actuaciones en lo que se refiere a su entidad. Con fecha 23 de marzo de 2023 se remite solicitud de información a la empresa ***NÓMINAS.1 y de la respuesta recibida en fecha 18/04/2023 se desprende: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16  ***NÓMINAS.1 es una compañía internacional que tiene como actividad principal la gestión de licencias de Vehículos de Transporte con Conductos (VTC) para terceros.  ***NÓMINAS.1 no ha tenido en vigor contrato directo CON AIR pero se encargaba por cuenta de MERIT de los servicios de gestoría y asesoría administrativa y laboral de dicha la empresa, con conocimiento y autorización de la misma hasta el 30 de septiembre de 2021. (Documento 3 copia del contrato de prestación de servicios contables y asesoramiento tributarios suscrito entre ambas compañías).  Las nóminas de los empleados de CON AIR se facilitaban a la compañía a través de Google Drive compartido (carpetas especiales de Google Drive que permiten almacenar, buscar y acceder a archivos en un espacio compartido por un equipo) con las personas de la empresa que habían sido designadas y la nómina se entregaba a los trabajadores a través de un portal de pago de gestión contratado a una tercera empresa en la que es necesario identificarse con usuario y contraseña tanto el receptor como el emisor.  La entidad manifiesta que la parte reclamante era una persona empleada de XXX y (…). La entidad manifiesta que tiene conocimiento de la difusión de una nómina modificada por parte del XXX y que la misma no ha sido difundida por ***NÓMINAS.1 ni por CON AIR según un Acta de reunión entre ambas compañías con el reclamante de fechas 10 y 17 de marzo de 2021.  La entidad manifiesta que no realiza ni ha realizado simulación de las nóminas de los empleados de CON AIR y que el permiso de acceso a los datos de los empleados correspondía a la dirección y a las personas de administración encargadas de la gestión de las nóminas.  La entidad ha aportado copia del comunicado a los trabajadores sobre protección de datos FUNDAMENTOS DE DERECHO I Competencia De acuerdo con lo dispuesto en el artículo 58.2 y 60 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD) y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que XXX realiza la recogida y conservación de, entre otros, los siguientes datos personales de personas físicas: nombre y apellido, dirección, DNI, número de la Seguridad Social, entre otros tratamientos. XXX realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante, brecha de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta una brecha de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como una brecha de confidencialidad, al haberse al haberse difundido en un grupo de Whatsapp una versión modificada de la nómina de la parte reclamante, donde se recogía su nombre y apellidos, dirección, DNI y número de la seguridad social, entre otros datos. Dentro de los principios del tratamiento previstos en el artículo 5 del RGPD, la integridad y confidencialidad de los datos personales se garantiza en el apartado 1.

  1. f)del artículo 5 del RGPD. Por su parte, la seguridad de los datos personales viene regulada en los artículos 32, 33 y 34 del RGPD, que reglamentan la seguridad del tratamiento, la notificación de una violación de la seguridad de los datos personales a la autoridad de control, así como la comunicación al interesado, respectivamente. III Principio de integridad y confidencialidad El artículo 5.1.
  2. f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: (…)
  3. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 En el presente caso, consta que los datos personales de la parte reclamante, obrantes en la base de datos de XXX, fueron indebidamente expuestos a un tercero, al haberse difundido en un grupo de Whatsapp una versión modificada de la nómina de la parte reclamante. Dicha nómina contiene nombre y apellidos, DNI y número de la seguridad social de la parte reclamante. De conformidad con las evidencias de las que se dispone en este acuerdo de iniciación del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a XXX, por vulneración del artículo 5.1.
  4. f)del RGPD. IV Tipificación de la infracción del artículo 5.1.
  5. f)del RGPD De confirmarse, la citada infracción del artículo 5.1.
  6. f)del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  7. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  8. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” V Propuesta de sanción por la infracción del artículo 5.1.
  9. f)del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que la infracción en cuestión es grave a los efectos del RGPD y que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16 - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (apartado a): por el acceso indebido de los datos personales de la parte reclamante, en la medida en que se ha producido la publicación de una simulación de la nómina de la parte reclamante, con los datos correspondientes a su nombre y apellidos, dirección, DNI y número de la seguridad social entre otros, en un grupo de Whatsapp. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (apartado b): XXX es una empresa habituada al tratamiento de datos personales. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
  10. f)del RGPD, permite fijar inicialmente una sanción de 3.000 € (tres mil euros). VI Seguridad del tratamiento El Artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  11. a)la seudonimización y el cifrado de datos personales;
  12. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  13. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  14. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/16 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. En el presente caso, en el momento de producirse la violación de la seguridad de los datos personales, consta que el sindicato no contaba con medidas de seguridad apropiadas para evitar que un empleado pudiera modificar una nómina y distribuirla sin anonimizar, en la medida en que se ha enviado a través de un grupo de whatsapp los datos personales de la parte reclamante, cuando no era afiliado de ese sindicato. Por tanto, de todo lo anterior ha quedado constatado que XXX no disponía de las medidas adecuadas para evitar que se produjera una situación como el supuesto que nos ocupa. De conformidad con las evidencias de las que se dispone en este acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a XXX, por vulneración del artículo 32 del RGPD VII Tipificación y calificación de la infracción del artículo 32 del RGPD De confirmarse, la citada infracción del artículo 32 del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  15. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/16 “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  16. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679”. (…) VIII Propuesta de sanción por la infracción del artículo 32 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes: La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (apartado a): por no contar con las medidas de seguridad adecuadas para evitar que un empleado difundiera a través de un grupo de whatsapp datos personales sin estar legitimado para ello. Como atenuantes: - Cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción (apartado k): el sindicato, tras haber recibido noticia de la reclamación ha adoptado las siguientes medidas: Pidió disculpas al reclamante Designó un DPD Envió un comunicado sobre el DPD Envió una circular a los trabajadores Reenvió la política de uso de los sistemas de información Difundió una guía de buenas prácticas Realizó formación a sus empleados Aporta política de protección de datos Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/16 - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (apartado b): XXX es una empresa habituada al tratamiento de datos personales. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 32 del RGPD, permite fijar inicialmente una sanción de 2.000 € (dos mil euros). IX Imposición de medidas De confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, sin perjuicio de acuerdo con lo establecido en el citado artículo 58.2
  17. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender a los requerimientos de este organismo puede ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a SINDICATO LIBRE DE TRANSPORTE, con NIF G80277239, por -por la presunta infracción del Artículo 5.1.
  18. f)del RGPD tipificada en el Artículo 83.5 del RGPD -por la presunta infracción del Artículo 32 del RGPD tipificada en el Artículo 83.4 del RGPD, SEGUNDO: NOMBRAR como instructora a B.B.B. y, como secretaria, a C.C.C., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/16 documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
  19. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de - Por la supuesta infracción del artículo 5.1.
  20. f)del RGPD, tipificada en el artículo 83.5 de dicha norma, multa administrativa de cuantía 3.000,00 euros - Por la supuesta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 de dicha norma, multa administrativa de cuantía 2.000,00 euros sin perjuicio de lo que resulte de la instrucción. QUINTO: NOTIFICAR el presente acuerdo a SINDICATO LIBRE DE TRANSPORTE, con NIF G80277239, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de expediente que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  21. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 4.000 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 4.000 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 3.000 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/16 En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (4.000 euros o 3.000 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 935-290523 Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 25 de octubre de 2023, la parte reclamada ha procedido al pago de la sanción en la cuantía de 3000 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/16 Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202103980, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR TRANSPORTE. la presente resolución a SINDICATO LIBRE DE De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  22. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/16 Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 936-040822 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.