1/12 Procedimiento Nº: PS/00274/2019 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Dña. A.A.A. (en adelante, la reclamante) con fecha 04/04/2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra CENTRAL SINDICAL INDEPENDIENTE Y DE FUNCIONARIOS CSICSIF, con NIF G79514378 (en adelante, el reclamado). Los motivos en que basa la reclamación son, en síntesis, los siguientes: La delegada sindical del CSIF ha publicado en un grupo abierto de whatsapp en el que se encuentran casi todos los trabajadores de la Unidad Central de Radiodiagnóstico de la Comunidad de Madrid, un listado del censo electoral que era de publicidad exclusiva para los sindicatos y en dicho listado figuran datos como el DNI de todos los votantes que forman el personal estatutario. SEGUNDO: Tras la recepción de la reclamación, la Subdirección General de Inspección de Datos procedió a realizar las siguientes actuaciones: El 07/05/2019, fue trasladada al reclamado la reclamación presentada para su análisis y comunicación a la denunciante de la decisión adoptada al respecto. Igualmente, se le requería para que en el plazo de un mes remitiera a la Agencia determinada información: - Copia de las comunicaciones, de la decisión adoptada que haya remitido al reclamante a propósito del traslado de esta reclamación, y acreditación de que el reclamante ha recibido la comunicación de esa decisión. - Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. - Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares. - Cualquier otra que considere relevante. En la misma fecha se les comunicaba a los reclamantes la recepción de sus reclamaciones y su traslado a la entidad reclamada. El 24/05/2019 el DPD del CSIF trasladó escrito en el que manifestaba que basándose en lo dispuesto en los artículos 14 y 18 del RD 1846/1994 por el que se aprueba el Reglamento de elecciones del personal al servicio de las Administraciones Publicas, y puesto que los referidos datos del censo son accesibles por todo el personal de la Unidad Central de Radiodiagnóstico de la Comunidad de Madrid a través de su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 intranet, sea desestimada la reclamación por estar la incidencia provocada amparada en la legalidad vigente.. TERCERO: El 17/06/2019, de conformidad con el artículo 65 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante contra el reclamado. CUARTO: Con fecha 22/11/2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del artículo 5.1.
- f)del RGPD, sancionada conforme a lo dispuesto en el artículo 58.2.
- a)del citado RGPD. QUINTO: Notificado el citado acuerdo de inicio, en escrito de 05/12/2019 el reclamado presentó escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: que consideraba que existe amparo legal para la publicación de los datos y en la forma realizada y que el argumento de que el listado del censo electoral es de publicidad exclusiva para los sindicatos es inexacto; que la comunicación se realizó por whatsapp en el marco de un proceso de elecciones sindicales amparado por el artículo 28 de la Constitución, a petición de varios integrantes del grupo de whatsapp que tenían dificultades para acceder a la intranet donde se hallaban publicados los datos del censo y que todos y cada uno de los miembros del grupo en el que se comunicó el censo accedieron voluntariamente incluida denunciante quienes son a la vez integrantes de dicho censo y que el motivo real de la reclamación se inserta en un periodo de elecciones ya que la reclamante pertenece a sindicato distinto a CSIF que concurría con a las elecciones. SEXTO: Con fecha 12/02/2020 se inició la apertura de un período de práctica de pruebas, acordándose las siguientes: Dar por reproducidos a efectos probatorios la reclamación interpuesta por la reclamante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por el reclamado y la documentación que a ellas acompaña. Solicitar a la reclamante copia de la documentación que obre en su poder relativa al procedimiento sancionador que por cualquier motivo no hubieran sido aportadas en el momento de la denuncia ó, cualquier otra manifestación en relación con los hechos denunciados. SEPTIMO: El 08/07/2020 el reclamando presento escrito de alegaciones en el que señalaba, en síntesis, lo siguiente: que en la propuesta se omite la debida ponderación entre el derecho a la libertad sindical y el derecho a la protección de datos en asunto que incide sobre ambos derechos; la concurrencia de interés público e interés legítimo en el tratamiento de los datos ya que la información vertida era de relevancia pública o de interés general para los trabajadores; que no ha existido ausencia de diligencia en la actuación de la delegada sindical; que los miembros del grupo de whatsapp en el que se comunicó el censo, accedieron voluntariamente a él, incluida la denunciante, y son integrantes de ese mismo censo; que el que el ámbito de comunicación de los datos personales que se denuncia es inferior a los restantes medios de publicación del censo electoral; que el sindicato se preocupa de una adecuada protección de los datos personales de los ciudadanos y con ese motivo suscribió un contrato con el gabinete C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 jurídico ***GABINETE.1, una empresa especializada en materia de protección de datos, que implementó en él los cauces necesarios para el cumplimiento de lo dispuesto en la LOPD, nombramiento de Delegado de Protección de Datos, etc., que la denunciante eludió los canales de denuncia y demás medios que CSIF ofrece; el archivo de las actuaciones. OCTAVO: De las actuaciones practicadas han quedado acreditados los siguientes, HECHOS PROBADOS PRIMERO. El 04/04/2019 tiene entrada en la AEPD escrito señalando que la delegada sindical del CSIF había publicado en un grupo abierto de whatsapp en el que se encuentran casi todos los trabajadores de la Unidad Central de Radiodiagnóstico de la Comunidad de Madrid, un listado del censo electoral de publicidad exclusiva para los sindicatos, figurando datos tales como el DNI de todos los votantes que forman el personal estatutario; que el censo que se publica en los tablones y al cual tienen acceso los trabajadores no figura el DNI. SEGUNDO. Consta aportada copia de aplicación whasapp en el que figura listado del censo electoral, apareciendo junto a los nombres y apellidos, el número del DNI. TERCERO. El reclamado en escrito de 24/05/2019 ha manifestado que: “existe amparo legal para la publicación de los datos y en la forma en que se ha realizado, más cuando ninguno de los dos preceptos mencionados diferencia entre censo para publicar en los tablones, y censo para comunicar a los sindicatos, o lo que es lo mismo que en el censo que se publica en los tablones no vengan los mismos datos que en el censo que se comunican a los sindicatos. A la vez que habilita a hacerlo público entre los funcionarios”. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II Los hechos reclamados se concretan en la publicación a través de un grupo abierto de whatsapp que contiene a la mayoría de los trabajadores de la Unidad Central de Radiodiagnóstico de la Comunidad de Madrid, del listado del censo electoral en el que figura el dato del número del DNI de aquellos. Dicho tratamiento podría ser constitutivo de una infracción del artículo 5, Principios relativos al tratamiento, del RGPD que establece que: “1. Los datos personales serán: (…)
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). (…)” El artículo 5, Deber de confidencialidad, de la nueva Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), señala que: “1. Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
- f)del Reglamento (UE) 2016/679. 2. La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable. 3. Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento”. III La documentación obrante en el expediente evidencia que el reclamado vulneró el artículo 5 del RGPD, principios relativos al tratamiento, en relación con el artículo 5 de la LOPGDD, deber de confidencialidad, en relación con la incidencia producida: envío a un grupo abierto de whatsapp del listado del censo electoral figurando el dato del número de DNI de los votantes. Este deber de confidencialidad debe entenderse que tiene como finalidad evitar que se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Por tanto, ese deber de confidencialidad es una obligación que incumbe no sólo al responsable y encargado del tratamiento sino a todo aquel que intervenga en cualquier fase del tratamiento y complementaria del deber de secreto profesional. En el caso examinado, el tratamiento de datos personales que la delegada sindical del CSIF llevó a cabo mediante la publicación, a través de un grupo abierto en la red social de whatsapp dirigido a la mayoría de los trabajadores de la Unidad Central de Radiodiagnóstico de la Comunidad de Madrid, del listado del censo electoral en el que figuraba además del nombre y apellidos, el dato del número del DNI de los votantes sería lícito en tanto se cumplan las premisas del artículo 6.1 del RGPD. A la luz de lo indicado en el citado artículo, únicamente podrán tratarse datos cuando tengan el consentimiento de las personas en cuestión, en el ejercicio de una obligación contractual, para cumplir con una obligación legal, cuando el tratamiento sea necesario para el cumplimiento de una misión realizada en interés público, para proteger los intereses vitales del interesado o para satisfacer los intereses legítimos de su organización. En definitiva, el tratamiento de los datos personales del reclamante llevado a cabo solo sería lícito en tanto en cuanto se cumpla alguna de las premisas del citado artículo 6.1 del RGPD. Así, no existiría base legal que legitimara el tratamiento de los datos personales del reclamante para la finalidad perseguida basada en el consentimiento, que en el presente caso no se da puesto que la reclamante se opone a ello. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 Tampoco existirá amparo legal para la publicación de los datos en la forma en que se ha realizado, a través de un grupo abierto de whatsapp. El Estatuto de los Trabajadores en su artículo 74, Funciones de la Mesa, señala que “Cuando se trate de elecciones a miembros del comité de empresa, constituida la mesa electoral solicitará al empresario el censo laboral y confeccionará, con los medios que le habrá de facilitar éste, la lista de electores. Esta se hará pública en los tablones de anuncios mediante su exposición durante un tiempo no inferior a setenta y dos horas”. Por otra parte, el artículo 6.2 del Real Decreto 1844/1994, de 9 de septiembre, por el que se aprueba el Reglamento de elecciones a Órganos de Representación de los Trabajadores en la Empresa dispone que: “En las elecciones para Delegados de Personal y miembros del Comité de Empresa, comunicado a la empresa el propósito de celebrar elecciones por sus promotores, ésta, en el término de siete días, dará traslado de dicha comunicación a los trabajadores que deberán constituir la mesa y en el mismo término remitirá a los componentes de la mesa electoral el censo laboral, con indicación de los trabajadores que reúnen los requisitos de edad y antigüedad, en los términos del artículo 69.2 del Estatuto de los Trabajadores, precisos para ostentar la condición de electores y elegibles. La mesa electoral hará público, entre los trabajadores, el censo laboral con indicación de quienes son electores y elegibles de acuerdo con el artículo 69.2 del Estatuto de los Trabajadores, que se considerará a efectos de la votación como lista de electores. Cuando se trate de elecciones para Comités de Empresa, la lista de electores y elegibles se hará pública en los tablones de anuncios durante un tiempo no inferior a setenta y dos horas.. También el Reglamento de elecciones del personal al servicio de las Administraciones Públicas aprobado por el Real Decreto 1846/1994, de 9 de septiembre en su artículo 14, Censo electoral, establece: “1. La Administración remitirá a los funcionarios que deban constituir la mesa electoral coordinadora o, en su caso, a la mesa electoral única el censo de funcionarios ajustado al modelo normalizado, en el término de doce días hábiles desde la recepción del escrito de promoción de elecciones. En el censo mencionado se hará constar el nombre, dos apellidos, sexo, fecha de nacimiento, documento nacional de identidad y la antigüedad reconocida en la función pública, de todos los funcionarios de la unidad electoral. 2. La mesa electoral coordinadora confeccionará la lista de electores, de acuerdo con el artículo 16 de la Ley 9/1987, con los medios que le habrá de facilitar la Administración. En caso de elecciones a Juntas de Personal, la lista se hará pública en los tablones de anuncios mediante su exposición durante un tiempo no inferior a setenta y dos horas. Una vez recibidas las reclamaciones a la lista provisional, presentadas hasta veinticuatro horas después de haber finalizado el plazo de exposición citado en el apartado anterior, la mesa electoral coordinadora las resolverá y publicará la lista definitiva de electores dentro de las veinticuatro horas siguientes a la finalización del trámite descrito anteriormente. En el mismo plazo determinará el número de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 representantes que hayan de ser elegidos en la unidad electoral, de conformidad con los artículos 5 y 8 de la Ley 9/1987. (…) Y en su artículo 18 “Elecciones a Delegados de Personal”, señala que: “1. Cuando se trate de elecciones a Delegados de Personal, el órgano gestor de personal, en el mismo plazo del artículo 7 del presente Reglamento, remitirá a los componentes de la mesa electoral censo de funcionarios, que se ajustará, a estos efectos, a modelo normalizado. 2. La mesa electoral cumplirá las siguientes funciones:
- a)Hará público entre los funcionarios el censo con indicación de quiénes son electores.
- b)Fijará el número de representantes y la fecha tope para la presentación de candidaturas. (…)” A la vista de los preceptos transcritos no existe base legal para la publicación de los datos en la forma en que se ha realizado, nombres y apellidos junto con el nº de DNI, a través de un grupo abierto de whatsapp en el que se encuentran la mayoria de los trabajadores de la Unidad Central de Radiodiagnóstico de la Comunidad de Madrid. Quien tiene la responsabilidad de publicar los datos del censo es la Mesa Electoral y la citada publicación ha de hacerse en el tablón de anuncios para que pueda ser visada por los electores a efectos de rectificar posibles errores. Y esta publicación en el tablón no trasgrede la legislación sobre la protección de datos de carácter personal. Por último, hay que decir que el RGPD no hace mención expresa sobre este particular concreto, por lo tanto, no modifica la legislación habida hasta la fecha. El reclamado considera que la base que legitima el tratamiento de los datos del reclamante se encuentra en el interés legítimo, es decir, que el tratamiento de los datos personales efectuado a través de la publicación en la red social watsapp perseguía satisfacer el ejercicio del derecho a la libertad sindical. Ahora bien, eso exige que los intereses perseguidos no prevalezcan sobre los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, es decir, que exige ponderar los interese en juego para concluir si debe prevalecer o no sobre el derecho a la libertad sindical el derecho del reclamante a su privacidad. A propósito del interés legítimo como base jurídica del tratamiento de datos personales de terceros, el Considerando 47 del RGPD dice: <<El interés legítimo de un responsable del tratamiento, incluso el de un responsable al que se puedan comunicar datos personales, o de un tercero, puede constituir una base jurídica para el tratamiento, siempre que no prevalezcan los intereses o los derechos y libertades del interesado, teniendo en cuenta las expectativas razonables de los interesados basadas en su relación con el responsable. Tal interés legítimo podría darse, por ejemplo, cuando existe una relación pertinente y apropiada entre el interesado y el responsable, como en situaciones en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12 las que el interesado es cliente o está al servicio del responsable. En cualquier caso, la existencia de un interés legítimo requeriría una evaluación meticulosa, inclusive si un interesado puede prever de forma razonable, en el momento y en el contexto de la recogida de datos personales, que pueda producirse el tratamiento con tal fin. En particular, los intereses y los derechos fundamentales del interesado podrían prevalecer sobre los intereses del responsable del tratamiento cuando se proceda al tratamiento de los datos personales en circunstancias en las que el interesado no espere razonablemente que se realice un tratamiento ulterior. Dado que corresponde al legislador establecer por ley la base jurídica para el tratamiento de datos personales por parte de las autoridades públicas, esta base jurídica no debe aplicarse al tratamiento efectuado por las autoridades públicas en el ejercicio de sus funciones. El tratamiento de datos de carácter personal estrictamente necesario para la prevención del fraude constituye también un interés legítimo del responsable del tratamiento de que se trate. El tratamiento de datos personales con fines de mercadotecnia directa puede considerarse realizado por interés legítimo.>> De conformidad con los hechos que nos ocupan debe concluirse que el tratamiento llevado a cabo por la delegada sindical del CSIF, a través de la publicación en un grupo de whatsapp conteniendo a la mayoría de los trabajadores de la Unidad Central de Radiodiagnóstico de la Comunidad de Madrid, facilito información que no era pertinente a los fines del ejercicio de la mentada libertad sindical, todo lo contrario puesto que los datos proporcionados, listado del censo que incluía el dato personal del DNI, deben calificarse como excesivos. El tratamiento de datos concernientes a los trabajadores incluidos en el listado del censo dado a conocer no resulta lícito pues no encontraba amparo en el artículo 6.1.
- f)del RGPD. En consideración a lo expuesto, habida cuenta de que el delegado sindical del CSIF trató ilícitamente determinados datos personales que eran ajenos a los intereses sindicales en juego revelando el número de DNI de las personas integrantes en el grupo de whasapp, se concluye que el reclamado es responsable de una infracción del artículo 5.1.f), en relación con el artículo 6.1 del RGPD. La vulneración del artículo 5.1.
- f)del RGPD está tipificada en el artículo 83.5.
- a)del RGPD. La LOPDGDD, a efectos de prescripción, en su artículo 72.1.
- a)califica esta infracción de muy grave. IV El reclamado ha alegado que o se ha tenido en cuenta la ponderación entre el ejercicio del derecho a la libertad sindical y el derecho a la protección de datos personales, debiendo prevalecer la libertad sindical en caso de que el sindicato haya obrado en legítimo ejercicio de su derecho a la libertad sindical en la vertiente de su derecho a informar sobre de interés para los trabajadores. En lo que se refiere al derecho de libertad sindical hay que señalar que las organizaciones sindicales tienen reconocidas una serie de competencias para el ejercicio de sus funciones sindicales de representación y que están amparadas por el derecho a la libertad sindical reconocido en el artículo 28.1 de la Constitución, desarrollado a través de la Ley Orgánica 11/1985, de 2 de agosto de Libertad Sindical. La actividad sindical incluye el derecho a promover elecciones y presentar candidaturas para la elección de comités de empresa y delegados de personal, lo que implica la realización de una campaña electoral y la publicación de un censo electoral. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 Pues bien, en el presente caso y como consta en los hechos probados y se señala en anteriores fundamentos la incidencia producida se refiere a la publicación a través de un grupo abierto de whatsapp del listado del censo electoral en el que figura el dato del número del DNI. La ley de libertad sindical reconoce en su artículo 8.1 .
- c)el derecho a recibir la información que le remita su sindicato y en el mismo artículo, apartado 2.
- a)se reconoce el derecho a que con la finalidad de facilitar la difusión de aquellos avisos que puedan interesar a los afiliados al sindicato y a los trabajadores en general, la empresa pondrá a su disposición un tablón de anuncios que deberá situarse en el centro de trabajo y en lugar donde se garantice un adecuado acceso al mismo de los trabajadores. En el caso que examinamos, el derecho de libertad sindical materializado en la información facilitada a través de la red social se satisface plenamente sin necesidad de acudir a dicho medio por lo que nada a porta al derecho a la libertad sindical. Es fundamental tomar en consideración que ninguna obligación tenía el sindicato de hacer público el censo electoral con inclusión de datos personales de los trabajadores y ello porque la normativa reguladora de las elecciones sindicales nada impone al respecto como se ha señalado anteriormente. Por todo lo expuesto, debe concluirse que la actuación del Sindicato recurrente ha excedido notablemente los limites en los que su actuación se encontraba amparada por la legitima actuación de su libertad sindical y el haber omitido la publicidad realizada a través de la red social no habría supuesto ninguna clase de menoscabo en relación al ejercicio de la libertad sindical y, por el contrario, habría salvaguardado el derecho de la reclamante en relación a datos personales tan relevantes como lo es el DNI. V El artículo 83.5
- a)del RGPD, considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado RGPD, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. Y la LOPDGDD en su artículo 72 indica a efectos de prescripción: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” VI C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12 A fin de establecer la multa administrativa que procede imponer han de observarse las previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
- a)a
- h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
- a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
- b)la intencionalidad o negligencia en la infracción;
- c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
- d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
- e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
- f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
- g)las categorías de los datos de carácter personal afectados por la infracción;
- h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
- i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
- j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
- k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción. En relación con la letra
- k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, establece que: “2. De acuerdo a lo previsto en el artículo 83.2.
- k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
- a)El carácter continuado de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/12
- b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
- c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
- e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
- f)La afectación a los derechos de los menores.
- g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
- h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” De acuerdo con los preceptos transcritos, y sin perjuicio de lo que resulte de la instrucción del procedimiento, a efectos de fijar el importe de la sanción de multa a imponer en el presente caso por la infracción tipificada en el artículo 83.5.
- a)del RGPD de la que se responsabiliza a CSI-CESIF, en una valoración inicial, se estiman concurrentes los siguientes factores: El alcance meramente local del tratamiento llevado a cabo por la entidad reclamada. El número de tratamiento y de personas afectadas por la conducta infractora, integrantes todos ellos de la Unidad Central de Radiodiagnóstico de la Comunidad de Madrid. No consta que la entidad reclamada haya adoptado medidas para evitar que se produzcan incidencias similares. No se tiene constancia de que el reclamado hubiera obrado dolosamente, aunque la actuación revela una falta de diligencia. La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal. La entidad reclamada no tiene la consideración de gran empresa, aunque representa a un gran número de afiliados entre los trabajadores y empleados del país. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a CENTRAL SINDICAL INDEPENDIENTE Y DE FUNCIONARIOS CSI- CSIF, con NIF G79514378, por una infracción del aartículo 5.1.
- f)del RGPD, tipificada en el artículo 83.5.
- a)del RGPD, y considerada a efectos de prescripción como muy grave en el artículo 72.1.
- a)de la LOPDGDD, una sanción de 3.000 € (tres mil euros). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/12 SEGUNDO: NOTIFICAR la presente resolución a CENTRAL SINDICAL INDEPENDIENTE Y DE FUNCIONARIOS CSI- CSIF, con NIF G79514378. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/12 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es