← España

PS-00353-2021

1/8  Procedimiento PS/00353/2021 RESOLUCIÓN DEL PROCEDIMIENTO SANCIONADOR Mediante Acuerdo de fecha 19/07/21, se inició el procedimiento sancionador, PS/0353/2021, instruido por la Agencia Española de Protección de Datos a Dª A.A.A., con NIF.: ***NIF.1, (en adelante, “la parte reclamada”), en virtud de denuncia presentada por Dª. B.B.B. (en adelante, “la parte reclamante”) por presunta infracción del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD); y de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, (LOPDGDD) y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 21/05/20, tuvo entrada en esta Agencia escrito, presentado por la parte reclamante, en el que exponía, entre otras, lo siguiente: “Mi contrato para la empresa que trabajo es a jornada parcial y además estoy cobrando del Sepe una prestación compensatoria de las horas trabajadas para así poder recibir un salario como jornada completa. Actualmente, como muchos españoles, mi empresa solicitó y le aprobaron un ERTE por fuerza mayor. Yo soy la única empleada. Dada las complicaciones que está habiendo para poder cobrar mi ERTE, hice unas gestiones para poder contactar con el Sepe y así se lo hice saber a la empresa. Me indicaron que tenía que ser la gestoría (quien gestionó mi ERTE) quien debía de ponerse en contacto con el Sepe para solventar cualquier problema que hubiera. Reclamé a la empresa, pasados unos días, si había alguna novedad por parte de la gestoría y la empresa me envía unos archivos vía WhatsApp que le manda la gestoría, según él, donde aparecen los datos económicos, fechas, plazos, importes mensuales... de la prestación compensatoria que estoy cobrando y ningún dato de mi ERTE. No existe ninguna evidencia escrita o verbal donde yo autorice a la gestoría que facilite estos datos tan personales y completamente ajenos a la empresa. No he tenido ni tenía ninguna intención de compartir con la empresa que estaba recibiendo una prestación ya que pertenece a mi más absoluta intimidad y sin embargo la gestoría se ocupó de hacérselo saber sin mi consentimiento. La empresa creía que, esos datos que había recibido eran mis datos del ERTE y le tuve que aclarar que no era lo que creía, algo que me indigna ya que como dije anteriormente no entraba en mis planes contarlo”. Junto al escrito de reclamación se aportaba la siguiente documentación: - Copia de mensaje de WhatsApp remitido por “(…)” donde constan dos documentos con logotipo del SEPE, con el texto “CONSULTA DE RECIBOS DE NÓMINAS” y ÚLTIMA PRESTACIÓN” respectivamente, con las fechas 21/05/2020 y 21/05/2020 respectivamente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 SEGUNDO: Con fecha 07/10/20, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la reclamación presentada, de conformidad con el artículo 65 de la Ley LPDGDD, al apreciar posibles indicios racionales de una vulneración de las normas en el ámbito de las competencias de la Agencia Española de Protección de Datos. TERCERO: Con fecha 01/03/21, por parte de esta Agencia se dirigió requerimiento informativo a la parte reclamada, al amparo de los poderes de investigación otorgados a las autoridades de control en el art 57.1 del Reglamento RGPD. CUARTO: Con fecha 26/03/21, se recibe en esta Agencia, escrito de contestación al requerimiento realizado, en el cual, entre otras, se indicaba: 1. Que debe tenerse en cuenta la situación de excepcionalidad provocada por el COVID-19 que ha generado las actuaciones que han dado lugar a la presente denuncia, así como, la necesidad acuciante de la reclamante que precisaba cobrar el ERTE. 2. Que la actuación de la reclamante ha sido contradictoria y ha inducido a entender que tanto esta asesora como la empresa contratante, a que se solicitaba y autorizaba a la asesoría a comunicar la resolución de ERTE a la denunciante a través de la empresa y/o en su caso a ambas partes y para ello debían acceder a la información comunicada en el apartado SEPE en el que figuraba toda la información relativa a las prestaciones que cobrara la trabajadora. 3. Que entienden que tanto esta asesora como el empresario están legitimados para tratar los datos de la resolución de concesión del ERTE ya que resultan necesarios para realizar trámites necesarios en aplicación de las obligaciones legales derivadas de la aplicación de medidas urgentes extraordinarias para hacer frente al impacto económico y social del COVID-19, considera tal situación, a efectos de suspensión de contratos, como de fuerza mayor, y el artículo 32 del Real Decreto 1483/2012 y 22.2

  1. a)del Real Decreto-Ley 8/2020 y de la legislación de la seguridad social aplicable. 4. Que, debido a la situación de colapso del SEPE para realizar los pagos de los ERTES, la trabajadora y la empresa se pusieron en contacto con esta asesoría para conocer la resolución de concesión del ERTE. 5. Que existe un consentimiento expreso de la trabajadora a esta asesoría para cumplir con esta finalidad que se deduce de las comunicaciones de correo electrónico. Que la reclamante realiza comunicaciones a la empresa, SEPE y a esta asesora para la resolución del ERTE. Además, tanto la empresa como la reclamante le requieren para que les comunique en cuanto tenga conocimiento de la resolución del ERTE. Que en esas comunicaciones se incluyen los conceptos que cobra la reclamante por otro tipo de prestaciones que percibe. Que dentro de un correo electrónico enviado a este asesor como a la empresa se incluyen conceptos que la trabajadora considera que no debían ser conocidos por el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 empresario, concretamente cuestiones relativas a la compatibilización de la prestación por ERTE y prestaciones no contributivas de la reclamante. Se aporta copia de correo electrónico remitido por la reclamante en fecha 25 de mayo de 2020 9:14 enviado a ***EMAIL.1 donde se hace referencia a un fichero Excel que se adjunta, así como a pantallazos que también se adjunta. Que en el fichero Excel constan los siguientes datos referidos a la reclamante; nombre y apellidos, Nº DNI, teléfono, Nº cuenta bancaria, “Tipo de medida” donde consta “SUSPENSIÓN”, entre otros. Consta asimismo una captura de pantalla de “CONSULTA DE SOLICITUDES” donde consta “no hay ninguna solicitud pendiente de tramitación”. Se aporta copia de correo electrónico remitido por la reclamante en fecha 5 de junio de 2020 11:35 enviado a ***EMAIL.1 y con copia a ***EMAIL.2 donde se hace referencia a una petición para que le envíen copia de una nómina. También se hace referencia a que su prestación aparece solicitada con fecha 02/06/2020 y que se adjunta un pantallazo. Que en dicho pantallazo constan el membrete “CONSULTA DE SOLICITUDES” y exclusivamente los siguientes datos; “fecha de solicitud” con el valor “02/06/2020”, “Situación de la solicitud” con el valor “APROBADA”, “Tipo de solicitud”, “Tipo de prestación”. Consta asimismo un enlace para visualizar la resolución de la solicitud. Consta copia de “RESOLUCIÓN DE APROBACIÓN DE LAS PRESTACIONES POR DESEMPLEO” emitido por el SEPE a nombre de la reclamante donde constan como periodo reconocido del 01/04/2020 al 02/07/2020”. Se aporta copia de una nómina de RENTYA BOOKINGS, S.L. siendo el trabajador la reclamante, con periodo devengado del 01 del 03 al 31 del 03 de 2020. No consta que dicha nómina figure como adjunto del correo electrónico del 5 de junio de 2020. 6. Que en la resolución de concesión del ERTE y en los documentos de recibo de nóminas y última prestación se incluyen los mismos conceptos que la reclamante considera que no debían ser conocidos por el empresario. 7. “A nuestro juicio el principal problema es que tanto en la resolución del comunicado por el SEPE como en la tramitación y verificación de cobro de la prestación del ERTE tanto empresario como asesora podemos acceder a las prestaciones que cobra por cualquier concepto la denunciante ya que se incluyen en el mismo documento y figuran en el mismo apartado de la página del SEPE. Y por tanto si la denunciante nos solicita este trámite que implica el acceso a la información contenida en el SEPE implica necesariamente un consentimiento expreso de acceso a la empresa y a esta asesora laboral a los datos e información de las prestaciones que la cobra la denunciante. Posiblemente la denunciante desconocía este hecho, pero esta cuestión no es responsabilidad de esta asesoría o de la empresa.” Se aporta copia de contrato de encargo del tratamiento entre RENT YA BOOKINGS, S.L. como responsable del tratamiento y el encargado del tratamiento firmado y fechado a 2 de febrero de 2019”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 QUINTO: Con fecha 19/07/21, por parte de la Directora de la Agencia Española de Protección de Datos, se inicia procedimiento sancionador a la parte reclamada, por presunta infracción del artículo 5.1.
  2. f)del RGPD, en relación con el artículo 32 del RGPD, al poner en conocimiento de terceras partes, datos personales de la reclamante sin legitimación y/o autorización para ello. SEXTO: Notificado el acuerdo de inicio a la parte reclamada, ésta mediante escrito de fecha 27/07/21 formuló, en síntesis, las siguientes alegaciones: “A la vista de la resolución adoptada en la por la Agencia Española de Protección de Datos respecto al inicio del Procedimiento Sancionador esta parte considera que la sanción a imponer debe ser un apercibimiento de conformidad con el artículo 58.2
  3. b)del RGPD teniendo en cuenta en cualquier caso las siguientes circunstancias: A).-La situación de excepcionalidad provocada por el COVID 19 que ha generado las actuaciones que han dado lugar a la presente denuncia. B).- La necesidad de la denunciante que precisaba cobrar la prestación por ERTE C).- A nuestro juicio la actuación de la denunciante en este asunto ha sido contradictoria y ha inducido a entender, tanto a esta Asesora como a la empresa contratante, a que se solicitaba y autorizaba a la asesoría a comunicar la resolución del ERTE a la denunciante a través de la empresa y/o en su caso a ambas partes y para ello debíamos acceder a la información comunicada en el apartado del SEPE en el que figuraba toda la información relativa a las prestaciones que cobraba la trabajadora. D).- Remarcar que la única finalidad de esta comunicación fue atender al requerimiento de la denunciante y en ningún momento nadie trató el dato o información de que estuviera percibiendo una prestación a tiempo parcial. Ninguna de las partes se fijó en ese detalle, sino en la resolución de la concesión del ERTE, y en ningún caso nos lo comunicó la denunciante para que tuviéramos presente esta especial circunstancia. La única finalidad de esta Asesoría era solucionar la concesión del ERTE a la trabajadora para que pudiera cobrar la prestación y poner en conocimiento la concesión del ERTE. El objetivo principal era que la trabajadora cobrase la prestación lo antes posible. E.-Condición de persona física de esta parte y que la infracción no ha generado beneficio alguno a esta asesora. 2 El artículo 83.5
  4. a)del RGPD, considera que la infracción de “ los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9, es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 La LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. La LOPDGDD en su artículo 72 indica a efectos de prescripción las “Infracciones consideradas muy graves No obstante, el artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:(…)
  5. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;(…)
  6. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado; (…)” Por tanto, el RGPD, sin perjuicio de lo establecido en su artículo 83, contempla en su artículo 58.2
  7. b)la posibilidad de acudir al apercibimiento para corregir los tratamientos de datos personales que no se adecúen a sus previsiones. Como se señala anteriormente esta infracción puede ser sancionada con apercibimiento. Al considerar que la multa administrativa que pudiera recaer con arreglo a los dispuesto en el artículo 83.5.
  8. b)del RGPD constituiría una carga desproporcionada para la reclamada, de conformidad con el artículo 58.2.
  9. b)del RGPD pudiendo proceder el apercibimiento. Esta parte ha realizado las siguientes correcciones y actuaciones para garantizar una diligencia debida en las medidas técnicas y organizativas para garantizar un nivel adecuado de seguridad en el tratamiento de datos de carácter personal. Concretamente se han adoptado las siguientes medidas correctoras: Se ha remitido requerimiento al empleador de la afectada para que destruya y/o elimine cualquier dato de carácter personal de la denunciante relativa a la información afectada objeto de la denuncia de la reclamante. En la comunicación del empleador se acredita no haber realizado tratamiento alguno de los datos de la denunciante objeto de la presente reclamación. Garantizando su eliminación y/o borrado. Se aporta como documento nº1 y documento nº2. Se ha adoptado una medida organizativa para garantizar un nivel adecuado de seguridad en el tratamiento de datos de carácter personal el supuesto de Gestión de Datos de Carácter Personales para la tramitación de ERTES de empleados. Se aporta como documento nº3 y se detalla a continuación: Se implanta el siguiente Procedimiento de Gestión de Datos de Carácter Personales para la tramitación de ERTES de empleados.  En caso de tramitación de ERTE. Esta asesoría gestionará la tramitación del ERTE de cualquier empleado previa comunicación del empresario (cliente).  Tras el inicio de la solicitud se gestionarán la tramitación del ERTE siguiendo las instrucciones del SEPE incluyendo: -Comunicaciones periódicas de los periodos de inactividad. -Presentación de la solicitud colectiva de la prestación de los trabajadores de la empresa que vayan al ERTE. -Cada mes vencido, informar que el trabajador sigue en ERTE -Ir comunicando variaciones de jornada, informar días de inactividad, bajas médicas, reincorporación del trabajador para finalizar la prestación, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 informar vacaciones, despidos, etc.  Esta asesoría únicamente remitirá al cliente (Empresario) la resolución positiva o negativa de la concesión del ERTE por parte del SEPE y aquella documentación y datos carácter personal necesarios requeridos por el SEPE durante el ERTE.  En ningún caso la asesoría revisará y/o accederá (aun teniendo autorización del trabajador y/o la empresa) al estado de la prestación de los trabajadores afectados por ERTE, través de la web del SEPE. A la vista de las medidas correctoras realizadas por esta parte consideramos que, el RGPD, sin perjuicio de lo establecido en su artículo 83, contempla en su artículo 58.2
  10. b)la posibilidad de acudir al apercibimiento para corregir los tratamientos de datos personales que no se adecúen a sus previsiones. Esta infracción puede ser sancionada con apercibimiento. Al considerar que la multa administrativa que pudiera recaer con arreglo a los dispuesto en el artículo 83.5.
  11. b)del RGPD constituiría una carga desproporcionada para la reclamada teniendo en cuentas las circunstancias que obran en el expediente la condición de persona física de esta reclamada y que la infracción no ha generado beneficio alguno a esta asesora. Permitiendo el artículo 58.2.
  12. b)del RGPD proceder al apercibimiento en el supuesto que nos atañe. En su virtud SOLICITO: se acuerde imponer una sanción de apercibimiento a esta parte de conformidad con el artículo 58.2
  13. b)del RGPD”. SÉPTIMO: Con fecha 09/08/21, se envía a la parte reclamada la propuesta de resolución, en la cual, se propone que, por la Directora de la Agencia Española de Protección de Datos se proceda a dirigir un “apercibimiento” a la reclamada, por infracción del artículo 5.1.
  14. f)del RGPD, en relación con la infracción del artículo 32 del RGPD, al poner en conocimiento de terceras partes, datos personales de la reclamante sin legitimación y/o autorización para ello. OCTAVO: Notificado la Propuesta de Resolución a la parte reclamada, no se ha recibido en esta Agencia ningún escrito de alegaciones a la misma, en el periodo concedido al efecto. HECHOS PROBADOS 1º.- Según el reclamante, los datos personales referentes a su situación laboral han sido puestos a disposición de la empresa donde trabaja, por parte de la persona reclamada (gestoría), sin su consentimiento expreso. En particular, esta persona había comunicado a la empresa donde trabaja la reclamante, datos referentes a la prestación compensatoria que recibía del SEPE, cuando solamente estaba autorizada a comunicarles los datos referentes al cobro del ERTE, en el que se encontraba en ese momento la trabajadora. 2º.- Por su parte, la persona reclamada, se alegaba a este respecto, entre otras que: “La actuación de la reclamante ha sido contradictoria y ha inducido a entender que se autorizaba el tratamiento de sus datos; que entiende que está legitimada para tratar los datos ya que resultan necesarios para realizar los trámites legales necesarios; que existe un consentimiento expreso de la trabajadora con esta finalidad que se deduce de las comunicaciones de correo electrónico realizadas; que en esas comunicaciones se incluyen los conceptos que cobra la reclamante por otro tipo de prestaciones que percibe. No obstante, se defiende indicando que, tanto el empresario como ella C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 pueden acceder a las prestaciones que cobra por cualquier concepto la denunciante ya que se incluyen en el mismo documento y figuran en el mismo apartado de la página del SEPE y por tanto, si la denunciante solicita este trámite que implica el acceso a la información contenida en el SEPE implica necesariamente un consentimiento expreso de acceso a la empresa y a esta asesora laboral a los datos e información de las prestaciones que la cobra la denunciante. Posiblemente la denunciante desconocía este hecho, pero esta cuestión no es responsabilidad de esta asesoría o de la empresa”. 3º.- Por estos hechos, se inicia en esta Agencia procedimiento sancionador a la parte reclamada, por infracción del artículo 32 del RGPD, al poner en conocimiento de terceras partes, datos personales de la reclamante sin autorización, demostrando con ello una clara falta de diligencia debía a la hora de aplicar las medidas técnicas y organizativas que garanticen un nivel adecuado de seguridad en el tratamiento de datos personales, imponiendo una sanción inicial de “apercibimiento”. 4º.- Notificado el acuerdo de inicio a la parte reclamante, ésta en sus alegaciones solicita que “(…) se acuerde imponer una sanción de apercibimiento a esta parte de conformidad con el artículo 58.2
  15. b)del RGPD”. FUNDAMENTOS DE DERECHO I.- Competencia: Es competente para resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos, en virtud de los poderes que el art 58.2 del Reglamento RGPD, y, según lo establecido en los arts. 47, 64.2 y 68.1 de la Ley LOPDGDD. II. En el presente caso, se ha constatado que los datos personales referentes a su situación laboral de la reclamante habían sido puestos a disposición de la empresa donde trabaja, por parte de la persona reclamada (la gestoría encargada de la tramitación de los ERTE), sin su consentimiento expreso. En particular, esta persona había comunicado a la empresa donde trabaja la reclamante, datos referentes a la prestación compensatoria que recibía del SEPE, cuando solamente estaba autorizada a comunicarles los datos referentes al cobro del ERTE. Estos hechos son constitutivos de una infracción, imputable a la parte reclamada, por vulneración del artículo 5.1.
  16. f)del RGPD, donde dispone que los datos personales serán: (…)
  17. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas”. La seguridad que se debe exigir en el tratamiento de los datos personales viene regulada en el art 32.1 del RGPD, donde se establece que: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado, (…)” Además, el artículo 5 de la LOPDGDD, sobre el “Deber de confidencialidad”, dispone que: 1. Los responsables y encargados del tratamiento de los datos, así como, todas las personas que intervengan en cualquier fase de éste estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
  18. f)del Reglamento (UE) 2016/679. 2. La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable. 3. Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, RESUELVE: PRIMERO: DIRIGIR UN APERCIBIMIENTO, a Dª A.A.A. con NIF.: ***NIF.1, por infracción del artículo 5.1.
  19. f)del RGPD, en relación con la infracción del artículo 32 del RGPD, al poner en conocimiento de terceras partes, datos personales de la reclamante sin la legitimación y/o autorización para ello. SEGUNDO: NOTIFICAR la presente resolución a Dª A.A.A. y al reclamante sobre el resultado de la reclamación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  20. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí. Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.