← España

PS-00394-2024

1/14  Expediente N.º: EXP202315131 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 10 de diciembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a FEDERACIÓN DE SERVICIOS PÚBLICOS DE LA UGT (FSP-UGT) (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202315131 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: DON A.A.A. (en adelante, la parte reclamante) con fecha 2 de octubre de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra FEDERACIÓN DE SERVICIOS PÚBLICOS DE LA UGT (FSP-UGT) con NIF G78085149 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: El reclamante expresa que recibe en su cuenta de correo electrónico personal correos procedentes de la cuenta ***URL.1, habiéndoles manifestado previamente que no quiere seguir recibiéndolos, aún habiendo sido en el pasado afiliado al sindicato y sin pertenecer a la Federación que le remite los mails, ni ser consciente de haber dado su consentimiento para ello. Continúa el reclamante informando haber recibido, en la misma fecha de 02/10/2023, un correo electrónico de la parte reclamada con copia abierta, en la que se recogen y pueden ver las direcciones de correo electrónico de los “341 destinatarios”, la mayor parte personales. Junto a su escrito de reclamación aporta: - Correo electrónico de la parte reclamada, remitido desde la dirección antes C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 mencionada y dirigido a la parte reclamante, de fecha 02/10/2023, en el que se pueden ver todas las direcciones de correo electrónico a las que se ha remitido, (…), prevista para el ***FECHA.1. Muchas de las direcciones de correo destinatarias van acompañadas de la indicación del nombre y dos apellidos de sus respectivos titulares o están formadas con estos mismos datos personales, así como de los lugares de trabajo de los interesados. En el texto de este correo se dice: “(…)”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la Confederación Sindical de UGT, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 31/10/2023 como consta en el acuse de recibo DEHÚ que obra en el expediente. Con fecha 21/05/2024 se recibe en esta Agencia escrito de respuesta indicando que tal y como se puede ver en la reclamación recibida, ésta deriva de una acción cometida desde la cuenta de correo ***EMAIL.1, siendo la Unión General de Trabajadores de Servicios Públicos, con CIF G-78085149, la responsable de los tratamientos realizados bajo los correos-e de su dominio (UGT SP) y que por tanto, el tratamiento de los datos personales denunciado por el interesado, no se está realizando por UGT CEC, sino por UGT SP, entendiendo que debe ser a este organismo a quien debe dirigírsele la presente solicitud.” TERCERO: Con fecha 2 de enero de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: De la documentación e información aportada por el representante de la parte reclamada, se pone de manifiesto lo siguiente: 1. Sobre el supuesto concreto denunciado en relación con la solicitud de baja de las comunicaciones, indica que se puso en marcha de forma correcta el Procedimiento de Ejercicio de Derechos de la Federación, y que las solicitudes planteadas por la parte reclamante, a dos direcciones de correo electrónico distintas del sindicato (la propia de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 la Federación; ***EMAIL.2, así como la del DPO Confederal, ***EMAIL.3), fueron contestadas en tiempo y forma. Aportan el registro de comunicados recibidos y enviados relativos a las solicitudes de derecho de oposición y supresión de datos personales formuladas por la parte reclamante, en los que se puede comprobar que con fecha 05/01/2022 ésta envió un correo electrónico a dos direcciones del sindicato (***EMAIL.2 y ***EMAIL.3) solicitando la baja en los listados de correo electrónico. También consta la respuesta del sindicato, con fecha 19/01/2022, en la que le contestan que han procedido a la “baja de su dato de correo-e” de los sistemas “para la remisión de comunicaciones”. 2. Se aporta, asimismo, una segunda comunicación del reclamante de fecha 03/10/2023 dirigida al sindicato indicando que continúa recibiendo comunicaciones con los datos de los destinatarios visibles, así como copia de la respuesta de fecha 04/10/2023, en la que informan a la parte reclamante que han adoptado las medidas internas necesarias para que estas situaciones no vuelvan a repetirse en el futuro. 3. La parte reclamada manifiesta que las pautas y los protocolos establecidos internamente no se han ejecutado ni concluido satisfactoriamente en este supuesto, habiéndose mantenido por parte de la Secretaría Autonómica (…), el dato de contacto sobre el que se solicitó la supresión, procediéndose además a realizar un envío masivo con datos en abierto, lo cual está terminantemente prohibido como práctica segura en la Federación. Añade que se han realizado en diversas ocasiones acciones de concienciación y sancionadoras de las acciones ejecutadas por parte de esta Secretaría Autonómica, recordándoles en repetidas ocasiones las prácticas a cambiar y mejorar, y que por parte de la Federación como responsable del tratamiento, del DPO y de los responsables de la Región y las Secretarías involucradas, se seguirá insistiendo y reforzando en la necesidad del estricto cumplimiento normativo. De la misma forma, señala que través del Data Protection Officer y los responsables en protección de datos de la Organización se está conformando, desde hace años y progresivamente, un Sistema de Gestión integral y global que dé cobertura a todos los procesos del sindicato en los que se vean involucrados datos personales. En relación con estos protocolos y con el caso que nos ocupa, se aportó un “Comunicado interno de concienciación”, de fecha 13/10/2023, en el que se indica lo siguiente: “(…). (…)… (…)”. 4. Sobre las medidas implantadas con anterioridad a los hechos, manifiestan que UGT Servicios Públicos mantiene implantadas en la Organización todas las medidas legales, técnicas y organizativas requeridas como obligatorias por Ley, así como otras que considera óptimas, y realiza su control y seguimiento permanente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 Más concretamente, sobre los hechos denunciados y que son constitutivos de posible infracción, la parte reclamada manifiesta que en este momento en la Federación cuentan con varios Procedimientos y Protocolos en los que se les requiere a todos los usuarios la necesidad de actuar siempre de acuerdo a la ley, atendiendo en todo momento las solicitudes de ejercicios de derechos que se reciben, así como la obligatoriedad e importancia de no remitir nunca correos electrónicos con los destinatarios en copia abierta. Estos documentos están a disposición de todos los usuarios de la Federación a través de la intranet interna. Se aporta una captura de pantalla de la intranet corporativa, que dispone de un apartado denominado “Informes y documentos de protección de datos” que contiene documentos en formato PDF relativos a procedimientos sobre ejercicios de derechos, política de dispositivos, Guía RGPD, procedimiento de conservación y destrucción de la documentación, procedimiento de brechas de seguridad, etc.… En el documento denominado “Manual de funciones y obligaciones para personas trabajadoras”, punto g), establece que “es muy importante la opción de copia oculta (CCO) en le remisión de correos electrónicos a varios destinatarios que no deban ser conocidos por los demás, de forma que cada uno de los receptores del correo electrónico recibido no pueda acceder a los datos de los demás receptores. La infracción de esta práctica es una de las más sancionadas por parte de la AEPD en la actualidad… Será necesario aplicar mecanismos de cifrado o tecnologías similares a la hora de transmitir categorías especiales de datos de carácter personal o información especialmente confidencial. Para ello, la Organización proporcionará la información y los medios necesarios a las personas trabajadoras”. Por otra parte, el documento “Guía de ayuda para el cumplimiento normativo de protección de datos”, en su punto 7 “Medidas de seguridad en el tratamiento de datos de la empresa” incluye, entre otras, las siguientes medidas: “No se pueden utilizar bases de datos con información personal fuera de las oficialmente reconocidas por la empresa para la remisión de comunicaciones sindicales”. “Limitación del plazo de conservación: Se deben eliminar los datos que se estén manejando una vez que dejen de ser pertinentes y necesarios para la finalidad para la que fueron recogidos (tanto en formato digital como en papel), lo que significa que debemos ser diligentes en el establecimiento de criterios lógicos de almacenamiento y eliminación de la información (Ver Guía de Plazos de Conservación de la información de UGT)”. “No se deben utilizar para la actividad sindical cuentas de correo-e no habilitadas o autorizadas expresamente por los responsables autorizados del sindicato. Para la remisión de correos-e masivos se debe utilizar siempre la opción de copia oculta (CCO) de forma que cada uno de los receptores del correo electrónico recibido no pueda acceder a los datos de los demás”. Y el documento denominado “Procedimiento en protección de datos. Atención y respuesta a solicitudes de ejercicios de derecho”, en el punto 3.3, indica que “debido a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 la estructura y alcance funcional y geográfico del sindicato se pueden dar situaciones en las que los interesados se dirijan a la organización a través de otras direcciones de correo-e que pueden haber obtenido a través de sitios web, otros formularios o documentación del sindicato, etc. En este caso se puede estar contactando con otros organismos o responsables de la Organización que no son los responsables del tratamiento adecuado. Ante estas situaciones el organismo receptor de la solicitud debe contestar igualmente atendiendo en su respuesta a cada caso concreto.” Del estudio del correo electrónico enviado, sin copia oculta, se desprende que en más de 200 cuentas de correo electrónico aparece el nombre y apellidos de los destinatarios, en 32 ocasiones el lugar de trabajo ((…), (…), (…), (…)…etc.), cuatro profesiones (Abogado, Ayte. Cocina…etc.), así como, presuntamente, si el destinatario se encuentra ocupado o no (…). Se produce además la difusión del dato personal relativo a afiliación sindical, de categoría especial, derivada del propio hecho de ser destinatario del correo electrónico. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En fecha 30/10/2023 se dio traslado de la reclamación a la “CONFEDERACIÓN SINDICAL DE LA UNIÓN GENERAL DE TRABAJADORES (UGT)”, para que procediera a su análisis y diera respuesta en el plazo de un mes. El Vicesecretario General de Organización de la Confederación Sindical de la Unión General de Trabajadoras y Trabajadores (UGT), en fecha 10/11/2023 presentó escrito de respuesta, en el que manifiesta lo siguiente: “La Confederación Sindical de la Unión General de Trabajadoras y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 Trabajadores de España (UGT) se establece territorialmente en Uniones de Comunidad Autónoma (UCA) y está integrada por tres Federaciones estatales que se constituyen en el ámbito del Estado Español para agrupar a las trabajadoras y a los trabajadores asalariados de los diferentes sectores económicos. Cada uno de estos organismos tiene su propio CIF y responsabilidades en el tratamiento de la información sensible y datos de carácter personal. Tal y como se puede ver en la reclamación recibida, ésta deriva de una acción cometida desde la cuenta de correo ***EMAIL.1, siendo la Unión General de Trabajadores de Servicios Públicos, con CIF G-78085149, la Responsable de los tratamientos realizados bajo los correos-e de su dominio (UGT SP). Por tanto, el tratamiento de los datos personales denunciados por el interesado no se está realizando por UGT CEC, sino por UGT SP, entendiendo que debe ser a este organismo a quien debe dirigírsele la presente solicitud.” En atención a la mencionada respuesta, por esta Agencia, se procedió a investigar los hechos denunciados tomando como responsable del tratamiento de los datos a la FEDERACIÓN DE SERVICIOS PÚBLICOS DE LA UGT (FSP-UGT) con NIF G78085149”. Posteriormente la “FEDERACIÓN DE SERVICIOS PÚBLICOS DE UGT (FSP-UGT)”, mediante escrito de fecha 21/05/2024, en su alegación tercera manifestaba: “Por parte de la Federación como Responsable del Tratamiento, del DPO, y de los responsables de la Región y las Secretarías involucradas, se seguirá insistiendo y reforzando en la necesidad del estricto cumplimiento normativo.” En su virtud, la condición de responsable del tratamiento de los datos denunciados le corresponde a la FEDERACIÓN DE SERVICIOS PÚBLICOS DE LA UGT (FSP-UGT). III Obligación incumplida. Deber de confidencialidad. El artículo 5.1.

  1. f)del RGPD en relación con el principio de integridad y confidencialidad en el tratamiento de los datos, establece que: “1. Los datos personales serán:
  2. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas (integridad y confidencialidad).” El principio de confidencialidad reseñado exige, por tanto, la protección de los datos personales contra accesos, usos y divulgaciones no autorizados y ello por cuanto el Considerando 39 del referido RGPD señala: “[…]Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 En el presente caso, consta que la parte reclamada, desde su sección sindical (…) en fecha ***FECHA.1 envió un correo electrónico a múltiples destinatarios, entre los que se encontraba la parte reclamante y en el que eran visibles las direcciones de cuentas de correo personales, el nombre y apellidos de más de 200 destinatarios y como se ha dicho lugar de trabajo, profesión y situación laboral en algunos de ellos; revelándose, además, la condición de afiliado al sindicato para todos ellos, dato este que pertenece a las categorías especiales reguladas en el artículo 9 del RGPD. FSP-UGT, mediante la documentación aportada con su respuesta al requerimiento de información que le fue realizado por los Servicios de Inspección de la AEPD, acredita haber impartido instrucciones a toda su organización para que se evite el envío de correos electrónicos masivos o a múltiples destinatarios sin la funcionalidad de copia oculta. En dicha respuesta, además, manifiesta que ha realizado acciones de concienciación para recordar las prácticas a cambiar y mejorar, aunque no ha aportado ninguna acreditación sobre estas acciones. Señala también que reforzará dichas acciones para insistir en la necesidad del estricto cumplimiento normativo. La misma parte reclamada, en un “comunicado interno de concienciación”, de fecha 13/10/2023, hace referencia expresa al correo electrónico objeto de las presentes actuaciones, a su irregularidad desde el punto de vista de la normativa de protección de datos personales y a los incumplimientos de sus normas internas que se vienen produciendo en el último año. Más allá de aquellas instrucciones, impartidas de forma interna en su organización, principalmente mediante la puesta a disposición de varios documentos disponibles a través de la intranet corporativa, FSP-UGT no ha acreditado haber implantado ninguna otra medida técnica u organizativa adecuada para garantizar efectivamente la confidencialidad de los datos personales tratados para el envío de correos electrónicos cuando estos correos se remiten a múltiples destinatarios. De conformidad con las evidencias de las que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que la parte reclamada envió un correo electrónico a múltiples destinatarios, revelando con ello los datos de sus direcciones de correo electrónico, nombres y apellidos y su afiliación sindical; y que existen indicios de una insuficiencia de medidas dirigidas a evitar efectivamente el acceso a los datos por parte de terceros no interesados y de una inadecuada ejecución de las medidas dispuestas; pudiendo haber cometido, por todo ello, una presunta infracción del principio de confidencialidad establecido en el artículo 5.1.
  3. f)del RGPD. IV Tipificación de la infracción del artículo 5.1.
  4. f)del RGPD De confirmarse, la citada infracción del artículo 5.1.
  5. f)del RGPD podría suponer la comisión de la infracción tipificada en el artículo 83.5.
  6. a)del RGPD que dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 la de mayor cuantía:
  7. a)“Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9.” A este respecto, la LOPDGDD, en su artículo 71” establece: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 LOPDGDD “Infracciones consideradas muy graves” dispone: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  8. a)“El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” V Propuesta de sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual, efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  9. a)a
  10. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  11. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  12. b)la intencionalidad o negligencia en la infracción;
  13. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  14. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14
  15. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  16. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  17. g)las categorías de los datos de carácter personal afectados por la infracción;
  18. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  19. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  20. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42,
  21. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Las multas administrativas se imponen en función de las circunstancias de cada caso individual, y en el presente supuesto se debe tener en cuenta, conforme señala el artículo 83.2.
  22. a)y
  23. g)del RGPD que: - El número de interesados afectados supera los 200 al haber sido reveladas más de 200 cuentas de correo personales, lo que señala la gravedad de los hechos. - El tratamiento de datos que se ha realizado ha supuesto la revelación de datos de afiliación sindical, considerándose éste una categoría especial de datos personales. Por todo ello y de acuerdo con los preceptos transcritos, y sin perjuicio de lo que resulte de la instrucción del procedimiento, la valoración inicial que alcanza la cuantía de la multa es de 5.000€ euros, por infracción del artículo 5.1
  24. f)del RGPD. VI Adopción de medidas De confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el artículo 58.2
  25. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14 En el presente caso, se podrá ordenar que en el plazo de dos meses se adopten las medidas necesarias para garantizar la confidencialidad y seguridad de los datos personales asociados a las comunicaciones internas de la organización. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a FEDERACIÓN DE SERVICIOS PÚBLICOS DE LA UGT (FSP-UGT), con NIF G78085149, por la presunta infracción del Artículo 5.1.
  26. f)del RGPD, tipificada en el Artículo 83.5.
  27. a)del RGPD. SEGUNDO: NOMBRAR como instructor/a a B.B.B. y, como secretario/a, a C.C.C., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
  28. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería, sin perjuicio de lo que resulte de la instrucción. - Por la supuesta infracción del artículo 5.1.
  29. f)del RGPD, tipificada en el artículo 83.5.
  30. a)de dicha norma, multa administrativa de cuantía 5.000,00 euros QUINTO: NOTIFICAR el presente acuerdo a FEDERACIÓN DE SERVICIOS PÚBLICOS DE LA UGT (FSP-UGT), con NIF G78085149, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de expediente que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  31. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14 reducción, la sanción quedaría establecida en 4.000€ euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 4.000€ euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 3.000€ euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia expresos de cualquier acción o recurso en vía administrativa contra la sanción. A estos efectos, en caso de acogerse a alguna de ellas, deberá remitir a la Subdirección General de Inspección de datos comunicación expresa del desistimiento o renuncia a cualquier acción o recurso en vía administrativa contra la sanción indicando a cuál de las dos reducciones se acoge o si es a las dos. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (4.000,00 euros o 3.000,00 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección junto con la comunicación expresa del desistimiento o renuncia a cualquier acción o recurso en vía administrativa contra la sanción para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo sin que se haya dictado y notificado resolución se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 935-050724 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/14 >> SEGUNDO: En fecha 17 de diciembre de 2024, la parte reclamada ha procedido al pago de la sanción en la cuantía de 3000 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio y su calificación jurídica. CUARTO: En el Acuerdo de inicio transcrito anteriormente se señalaba que, de confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  32. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de las medidas incluidas en el Acuerdo de inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/14 “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202315131, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: ORDENAR a FEDERACIÓN DE SERVICIOS PÚBLICOS DE LA UGT (FSP-UGT) para que en el plazo de 2 meses desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho del Acuerdo de inicio transcrito en la presente resolución. TERCERO: NOTIFICAR la presente resolución a FEDERACIÓN DE SERVICIOS PÚBLICOS DE LA UGT (FSP-UGT). De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  33. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1259-101224 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/14 Olga Pérez Sanjuán La Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2 LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.