PS-00393-2018

1/10 938-0419 Procedimiento Nº: PS/00393/2018 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fechas 17/05 y 4/06/2018, se recibieron dos reclamaciones de RECLAMANTE 1 Y 2 según consta en ANEXO GENERAL, contra la UNIVERSIDAD POLITECNICA DE VALENCIA, (Universidad Pública) al enviar un e mail el 9/05/2018 sin copia oculta identificando a sus destinatarios como personas que secundaron una huelga: Ambos manifiestan que son profesores asociados en la Universidad Politécnica de Valencia. Aportan el correo que indica: -De “RRHH. Concursos, oposiciones y plantillas PDI rrhh.coppdi@upv.es” en el pie de firma consta Dirigido por la directora de recursos humanos. -Asunto: Comunicación interesados descuento de haberes” - Figuran más de 30 direcciones de correo como destinatarios con el dominio upv,es y otras con nombre y apellidos completos. Si bien no indican sus propias direcciones estas parecen ser: ***EMAIL.1@upvnet.upv.es y ***EMAIL.2@csa.upv.es. Delante de upv, y tras el símbolo @ figuran diferentes componentes en los correos, unos son csa, arq, dib, urb por mencionar algunos. -En el literal consta: “Le informo que, por parte del responsable de su Escuela, y a petición de este Servicio de Recursos Humanos, se nos comunicó el personal que desde el día 16 de abril de 2018 no ha asistido a su puesto de trabajo, sin existir justificación alguna, considerando por ello que ha secundado la huelga de profesores asociados. Asimismo, a fecha de hoy, Vd. no ha comunicado a este Servicio de Recursos Humanos su participación en la Huelga de profesores asociados. Por ello, le comunico que, si no indica lo contrario al haberse producido falta de asistencia a su puesto de trabajo sin justificación, de conformidad con lo dispuesto en la normativa vigente, se procederá por parte de este servicio al descuento en la nómina del mes de mayo de los haberes correspondientes a este periodo, en concepto de huelga.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es Los reclamantes entienden que “… la asistencia o no al trabajo, así como si una persona ha secundado o no la huelga, se trata de una información laboral especialmente sensible y por tanto de datos especialmente protegidos conforme al artículo 7.2 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal. Además, estos datos han sido comunicados a una pluralidad de personas sin que medie consentimiento alguno por mi parte” SEGUNDO: A la vista de los hechos y de los documentos aportados por los reclamantes, se dio traslado a la reclamada -Con fecha 1/08/2018 sobre reclamante 1 manifiesta la directora de recursos humanos de la Universidad:

1. a)Desde el servicio de recursos humanos, todos los correos electrónicos que se envían se dirigen únicamente al interesado, usualmente con “copia carbón oculta” ”CCo”, y aquí por error humano se envió como “CC”, “copia carbón”. Nada más enviarlos “nos dimos cuenta del error” que ya no se podía subsanar.
2. b)Los correos electrónicos son los corporativos laborales de la Universidad.
3. c)Respeto a la reclamante, no afecta al ámbito de su confidencialidad laboral o sensible cuando la interesada forma parte de la plataforma de profesorado asociado desde donde ha manifestado públicamente” tanto en el ámbito universitario como en las reuniones mantenidas con los diferentes órganos de Dirección, mesa de negociación así como en la prensa, ejemplo el diario.es con inclusión de fotografía con la convocatoria de huelga registrada, su adhesión y participación activa a la huelga indefinida convocada en el ámbito de esta Universidad.” -Con fecha 29/01/2018 se recibe escrito de la reclamada, para ambas reclamaciones, de la Secretaria General, indicando que los hechos sucedieron por la convocatoria de una huelga indefinida desde 19/04/2018, añadiendo. 4. Disponen de un reglamento de uso de los servicios y recursos informáticos (no indica la fecha) en el que se indica que no es un medio de difusión masiva e indiscriminada de información y en caso de enviarse a múltiples destinatarios se ha de usar CCO para que cada receptor no conozca las direcciones ni contenido del resto de receptores de mensaje. 5. Se procedió a mantener una reunión el 15/11/2018 con los reclamantes para informarles de las acciones realizadas ofreciendo disculpas institucionales, constatando y explicando el error humano Se les detalló que se anotó el incidente, se envió nota al servicio que en una reunión convocada se reiteró el cuidado en correos con varios destinatarios, Aportan nota de la reunión en la que los “reclamantes precisan que lo que se difundió fue el listado de profesor asociado que ejerció su derecho a huelga en la pasada huelga indefinida convocada por ese 3/10 colectivo en la UPV” y que desde ese punto de vista “no queda acreditado que se trate de un incidente imputable a un error humano”. Se subraya que cuando se deba producir efectos administrativos, se cursen las notificaciones adjuntándose a lo señalado por la Ley 39/2015. Los reclamantes manifestaron que no se ha reparado el daño realizado, y que le consta que los correos se han “reenviado”. Como compromisos se indica que se va a adoptar un protocolo integral de gestión de las comunicaciones y gestión de espacios en disco compartido respecto de las previsiones del RGPD. Se intentó realizar la conformidad con los afectados, pero estos se negaron. 6. Se enviaron escritos de disculpas a los dos reclamantes, aporta copia de correo electrónico dirigido a las direcciones de 9/05/2018 con CCO. 7. Aporta copia de una nota interior de la directora de RRHH a Secretario General de 28/11/2018 en la que adjunta acta de reunión de personal donde se refleja cómo se llevaron a cabo las recomendaciones solicitadas por el delegado de protección de datos de la UPV y comunicadas por la Secretaria General. El acta de la reunión celebrada el 20/11/2018 informa del correcto proceder en el uso de los datos personales especialmente en el caso de correo electrónico y en su caso la necesidad del uso. TERCERO: Con fecha 19/02/2019 la directora de la AEPD acordó: ”iniciar procedimiento sancionador a UNIVERSITAT POLITÈCNICA DE VALÈNCIA (ÁREA DE RECURSOS HUMANOS), por la presunta infracción del artículo 5.1
4. f)del RGPD de acuerdo con el artículo 83.5 del RGPD. “a los efectos previstos en el art. 64.2
5. b)de la ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de apercibimiento.” CUARTO: Con fecha 14/03/2019 la reclamada reitera lo manifestado. QUINTO: Con fecha 29/05/2019 se emite propuesta de resolución con el literal: “Que por la Directora de la Agencia Española de Protección de Datos se sancione a UNIVERSIDAD POLITECNICA DE VALENCIA, con NIF Q4618002B, por una infracción del Artículo 5.1
6. f)del RGPD, tipificada en el Artículo 83.5 del RGPD, con apercibimiento, de conformidad con el artículo 58.2.
7. b)y 77 LOPDDG.” No se recibieron alegaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es HECHOS PROBADOS 1 Los profesores asociados de la Universidad Politécnica de Valencia disponen de correos electrónicos profesionales con dirección upv.es titularidad de la Universidad Politécnica de Valencia. Dichos correos son utilizados entre otras funciones, para comunicar información a sus integrantes. 2 Con fecha 19/04/2018, el colectivo de profesores asociados que presta servicios para la UPV convocó una huelga indefinida. Según la UPV, a 9/05/2018, un amplio número de empleados no había comunicado todavía los motivos de ausencia al trabajo. 3 El Servicio de RRHH envió el 9/05/2018 un correo a un número de profesores asociados, con literal “Comunicación interesados descuento de haberes”, que aunque dirigido a interesado, a una persona, se envía por correo electrónico a más de 30 direcciones upv. es (correo corporativo laboral de los profesores asociados de la UPV) dejando ver las direcciones de todos los destinatarios con el asunto: ”Comunicación interesados descuento de haberes”, con el literal: “Le informo que, por parte del responsable de su Escuela, y a petición de este Servicio de Recursos Humanos, se nos comunicó el personal que desde el día 16 de abril de 2018 no ha asistido a su puesto de trabajo, sin existir justificación alguna, considerando por ello que ha secundado la huelga de profesores asociados. Asimismo, a fecha de hoy, Vd. No ha comunicado a este Servicio de Recursos Humanos su participación en la Huelga de profesores asociados. Por ello, le comunico que, si no indica lo contrario al haberse producido falta de asistencia a su puesto de trabajo sin justificación, de conformidad con lo dispuesto en la normativa vigente, se procederá por parte de este servicio al descuento en la nómina del mes de mayo de los haberes correspondientes a este periodo, en concepto de huelga” 4 La reclamada mantuvo una reunión con los reclamantes el 15/11/2018 para disculparse y detallar la adopción de medidas. Se anotó como incidencia de cumplimento el 6/11/2018 y se mantuvo una reunión presencial con todo el personal del servicio que firmaron su asistencia compuesto por las distintas áreas de recursos humanos en la que se explicó el uso del correo electrónico CCO, así como emplear otros medios en las notificaciones relacionadas o cuando tengan efectos administrativos. También se va a impulsar la creación de un protocolo de gestión de comunicaciones. A los mismos destinatarios de los correos, se les envía con CCO el 22/11/2018 un detalle con las disculpas y las medidas que toman. FUNDAMENTOS DE DERECHO 5/10 I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDPGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II En cuanto al ejercicio de un derecho constitucional como de huelga, en el ámbito laboral existe jurisprudencia indicando que al ser un derecho de ejercicio individual no se tiene porque avisar que se secunda la huelga. Cuestión distinta es la justificación de las ausencias posiblemente relacionadas con la misma, si bien sea cual sea el motivo, al no justificarse o no ser justificada la falta de asistencia, supondrá la merma salarial equivalente (sentencia del juzgado de lo social de Figueres recurso núm. 207/2018 de 16/07/2018.). Junto a dicha reducción salarial, se necesitaría además conocer la situación del empleado al poder tener repercusión la falta de asistencia por huelga en las cotizaciones, que conlleva una situación de alta con suspensión de cotización, y el hecho de que durante la huelga no se puede sustituir a los empleados que ejerciten el derecho por otros, basándose en dicha circunstancia El contrato de trabajo se suspende mientras dure la huelga. Al igual que el contrato, también se suspende durante la huelga la obligación de cotizar a la Seguridad Social por parte del empresario y del trabajador. Los trabajadores en huelga, a efectos de la Seguridad Social, no causan baja, sino que, mientras dure la huelga, se encuentran en situación de “alta especial”. En el presente supuesto, se ignora el periodo de ausencia de los empleados al que se refería el correo electrónico enviado. La huelga se convoca a mediados de abril, y el correo es de 9 del mes siguiente. Podrá darse el supuesto de que ningún empleado hubiera manifestado que se hallaba de huelga, no siendo lógico que los que hubieran comunicado que se hallaban en huelga fueran los destinatarios del citado correo. En cuanto al contenido del correo, por un lado, presume que la ausencia corresponde a que se hallan ejerciendo el derecho de huelga, dado que convocada se ha faltado al trabajo, y se informa que ante la ausencia de justificación de ausencia desde dicha convocatoria, sino se indica lo contrario, se van a aplicar los descuentos en nómina de mayo, correspondientes a la situación de huelga. Ello puede servir para que los que no hayan secundado la huelga aportan en su caso la justificación. El contenido del mensaje da a conocer que las personas a las que va dirigido el correo no han justificado su ausencia que posiblemente han ejercido su derecho a huelga, aunque existe la posibilidad de que se indicara lo contrario. El hecho es que siendo direcciones de correo corporativas, cualquiera que recibe el correo conoce a falta de asistencia justificada de otros, lo que da lugar a la infracción. El conocimiento por otras personas que forman parte del grupo de direcciones de correos electrónico corporativos de la UPV que el 9/05/2018 da información sobre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es la circunstancia que desde 19/04/2018 no acudían al puesto de trabajo, coincidiendo con la convocatoria de huelga, todos ellos con ausencias no justificadas desde dicha fecha, y la información que se hará el descuento salarial como si se hubiera acudido a la misma, supone una infracción del deber de confidencialidad de los afectados por parte de la responsable del tratamiento de sus datos a la que se imputa la infracción. El artículo 7.2 de la derogada LOPD indicaba: ”Sólo con el consentimiento expreso y por escrito del afectado podrán ser objeto de tratamiento los datos de carácter personal que revelen la ideología, afiliación sindical, religión y creencias. Se exceptúan los ficheros mantenidos por los partidos políticos, sindicatos, iglesias, confesiones o comunidades religiosas y asociaciones, fundaciones y otras entidades sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, en cuanto a los datos relativos a sus asociados o miembros, sin perjuicio de que la cesión de dichos datos precisará siempre el previo consentimiento del afectado.” Frente a la manifestación de la reclamante que se estaban tratando y vulnerando datos sensibles, se ha de indicar que el hecho de acudir o no a una huelga, no entra en la categoría del relato de dato sensible al no correlacionar el hecho con “ideología, afiliación sindical, religión y creencias, y en ningún punto del correo enviado se contiene aspecto alguno que invite a considerarlo. III El artículo 4.2 del RGPD define: «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” El envío de un mensaje a unas direcciones de correo electrónico de los que se conocen sus identidades por estar asignadas a los mismos, y que se conocen entre ellos, es un tratamiento de datos, en este caso usado para fines laborales. La infracción se contempla en el artículo 5.1.
8. f)del del RGPD que indica: 1.Los datos personales serán: “
9. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»), relacionado con el artículo 5 de la LOPDGDD, que indica: “1. Los responsables y encargados del tratamiento de datos, así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
10. f)del Reglamento (UE) 2016/679.” Los titulares de los datos que les identifican tienen una expectativa razonable de que no se realicen filtraciones de datos junto con la información asociada. Del deber de guardar secreto sobre el dato y la información a él referida sólo tiene facultad de disposición el sujeto afectado, a no ser que la Ley prevea su cesión, pues 7/10 el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información. “Este derecho fundamental a la protección de los datos persigue garantizar a las personas un poder de control sobre sus datos personales, sobre su uso y destino” (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida”. La infracción es sancionable de acuerdo con el artículo 83.5 del RGPD, que indica: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
11. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;” La LOPDGDD se refiere a esta infracción, en su artículo 72.1.
12. a)con el siguiente tenor: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
13. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679.” El artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
14. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;
15. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado” El artículo 83.7 del RGPD añade: “cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro” A tal efecto, el artículo 77 de la LOPDGDD indica: 1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
16. i)Las Universidades Públicas. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.” En cuanto las medidas adoptadas, la reclamada se ha apercibido de que los correos electrónicos pueden traer conflictos si se usan para notificar circunstancias que solo atañen al interesado y que o bien utiliza la copia oculta y revisa antes de su envió o es preferible utilizar otros medios para comunicar a un grupo hechos relacionados con sus circunstancias personales. En estos supuestos el resultado que se produce por un descuido o falta de diligencia de una persona se multiplica al remitirse de forma instantánea a varias personas, sin que se deduzca en este caso intencionalidad en su uso y envío. Se conviene que en el presente caso, las medidas implementadas por la reclamada han sido variadas, pueden ser efectivas y se consideran adecuadas. Por lo tanto, de acuerdo con la legislación aplicable la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a UNIVERSITAT POLITÈCNICA DE VALÈNCIA (ÁREA DE RECURSOS HUMANOS), con NIF Q4618002B, por una infracción del Artículo 5 del RGPD, tipificada en el Artículo 83.5 del RGPD, una sanción de apercibimiento. SEGUNDO: NOTIFICAR la presente resolución a UNIVERSITAT POLITÈCNICA DE VALÈNCIA (ÁREA DE RECURSOS HUMANOS) con el envío del ANEXO GENERAL, y al DEFENSOR DEL PUEBLO. TERCERO: De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 9/10 Finalmente, se señala que conforme a lo previsto en el art. 90.3
17. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es ANEXO GENERAL RECLAMANTE 1- A.A.A. RFECLAMANTE 2- B.B.B.