← España

PS-00406-2024

1/10  Expediente N.º: EXP202405068 (PS/00406/2024) RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 28 de febrero de 2024 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a CONSEJERÍA DE TURISMO Y EMPLEO con NIF S3511001D (en adelante, CONSEJERÍA o parte reclamada). Los hechos que se pone en conocimiento de esta autoridad: El 04/12/23 la parte reclamante presentó una papeleta de conciliación por despido improcedente. El 28/12/23 la CONSEJERÍA envió a la parte reclamante un correo electrónico para comunicarle la fecha del acto de conciliación. Al citado mensaje se anexó un fichero en el que constan los siguientes datos de las partes intervinientes de todos los actos de conciliación a celebrar en la Isla de Fuerteventura el ***FECHA.1: nombre y apellidos de los demandantes, representante, número de registro asignado al expediente, demandado y objeto o concepto del procedimiento (despido, cantidad o ambos). De este modo, los datos personales de 25 demandantes son compartidos con los 21 destinatarios del correo electrónico. La parte reclamante considera que solamente le tenían que haber enviado los datos relativos a su procedimiento. A su vez, destaca que todos los receptores del mensaje controvertido han accedido a los datos de procedimientos ajenos. Además, el correo electrónico se remitió sin utilizar la funcionalidad “con copia oculta”, por lo que sus 21 destinatarios tuvieron acceso a la dirección de correo electrónico de los demás destinatarios. Alguna de estas direcciones de correo electrónico incluso contiene el nombre y apellido del destinatario. Junto a la reclamación aporta el correo enviado por la parte reclamada para comunicar el señalamiento de los actos de conciliación a las partes que intervienen en los procedimientos y el fichero anexado al mismo. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a CONSEJERÍA, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/10 La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en fecha 05/04/2024 como consta en el acuse de recibo que obra en el expediente. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 28 de mayo de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: Con fecha 28 de noviembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por dos presuntas infracciones del artículo 5.1.

  1. f)del RGPD, tipificadas en el artículo 83.5.
  2. a)del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó el 8/01/2025 escrito de alegaciones en el que en síntesis, manifestaba que, los hechos objeto de la reclamación se debieron a que el programa informático utilizado hasta enero de 2024 por el Servicio de Mediación, Arbitraje y Conciliación de Las Palmas (en adelante SEMAC), databa del año 2000, aproximadamente, no disponiendo el mismo de la posibilidad de notificación telemática a las partes afectadas en los procedimientos de conciliación. Esta situación generaba retrasos en las notificaciones postales e incomparecencias en los actos de conciliación. En consecuencia, se adoptó la decisión de realizar remisiones a través de correo electrónico del listado de los procedimientos de conciliación por día a los interesados. Señala que el listado contenía los números de expediente, los interesados, sus representantes, concepto de la reclamación y hora de la celebración del acto de conciliación. Asimismo, señala que, según informe del (…), desde enero de 2024 se implementó un software de gestión y tramitación de los expedientes de conciliación del SEMAC en la isla de Fuerteventura, utilizando la notificación telemática para cada expediente, suprimiendo, así, el envío de correos electrónicos. SEXTO: El 5 de noviembre de 2025 se dictó por la instrucción del procedimiento propuesta de resolución en los siguientes términos: - - Que por la Presidencia de la Agencia Española de Protección de Datos se declare que CONSEJERÍA DE TURISMO Y EMPLEO, con NIF S3511001D, se ARCHIVE el procedimiento iniciado por la presunta infracción del artículo 5.1
  3. f)del RGPD, tipificada en el artículo 83.5
  4. a)del RGPD. Que por la Presidencia de la Agencia Española de Protección de Datos se declare que CONSEJERÍA DE TURISMO Y EMPLEO, con NIF S3511001D, ha infringido lo dispuesto en el Artículo 5.1.
  5. f)del RGPD, tipificada en el Artículo 83.5.
  6. a)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/10 Asimismo, se concedía un plazo de 10 días desde la fecha de notificación de esta para que la parte reclamada presentara cuantas alegaciones considerara convenientes. La mencionada propuesta fue notificada a la parte reclamada el 5 de noviembre de 2025, tal y como consta en el acuse de recibo que figura en el expediente. No constan a esta Agencia alegaciones a la propuesta de resolución. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Con fecha 4 de diciembre de 2023 la parte reclamante presentó escrito de interposición de acto de conciliación por despido improcedente tal y como consta en el justificante de presentación. SEGUNDO: Con fecha 28 de diciembre de 2023, desde el correo electrónico A.A.A.@gobiernodecanarias.org, se envió con la funcionalidad “Cc” (Con copia) al correo electrónico de la parte reclamante, así como a otros 21 destinatarios, el siguiente mensaje: “Buenos días Remito Horario conciliación para el día ***FECHA.1 en Fuerteventura Saludos” Al citado mensaje constaba adjunto un fichero con los siguientes datos personales de las partes intervinientes en todos los actos de conciliación a celebrar el ***FECHA.1 en la Isla de Fuerteventura: nombre y apellidos de los demandantes, representante, número de registro asignado al expediente, demandado y objeto o concepto del procedimiento (despido, cantidad o ambos). De este modo, los datos personales de 25 demandantes son compartidos con los 21 destinatarios del correo electrónico. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/10 en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” Por su parte, el artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que la CONSEJERÍA realiza, entre otros tratamientos, la recogida, conservación y comunicación de datos personales de personas físicas: nombre, apellidos, representante, tipo de conflicto laboral y correo electrónico. La CONSEJERÍA realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III Contestación a las alegaciones aducidas al acuerdo de inicio Debe responderse, en primer término, a las alegaciones presentadas por la entidad reclamada al acuerdo de inicio, en las que reconoce, por una parte, lo ocurrido y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/10 señala, por otra parte, que desde enero de 2024 se ha implementado un software de gestión y tramitación de los expedientes de conciliación del SEMAC en la isla de Fuerteventura, utilizando la notificación telemática para cada expediente, suprimiendo el envío de correos electrónicos. Al respecto se señala que si bien la AEPD valora positivamente la adopción de medidas para evitar el envío a una pluralidad de destinatarios no autorizados de los listados con los datos personales de los intervinientes en los actos de conciliación a celebrar por la CONSEJERÍA en la isla de Fuerteventura, esta medida, adoptada con posterioridad a que ocurrieran los hechos objeto del presente procedimiento sancionador no impiden no apreciar su responsabilidad en los hechos objeto del presente procedimiento, ocurridos el 28 de diciembre de 2023. Hechos, por otra parte, que han sido reconocidos por la parte reclamada, que reconoce que hasta enero de 2024 se remitían mediante correo electrónico listados que contenían los datos personales de participantes en actos de conciliación laboral a todos ellos, sin discriminar, por tanto, los relativos a otras personas que habían de acudir a un acto de conciliación en el mismo día. Así, quedaban indebidamente expuestos, como en el caso de la parte reclamante, los datos personales de los participantes vulnerándose la confidencialidad de los mismos. Por todo lo expuesto, se desestima la presente alegación, sin perjuicio de que se considere innecesario la adopción de medidas correctivas, como estaba previsto en el acuerdo de inicio, en tanto que estas ya han sido adoptadas por la CONSEJERIA. IV Obligación incumplida. Integridad y confidencialidad: Envío de un correo electrónico con revelación de las direcciones La letra
  7. f)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
  8. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." Revisada la documentación obrante en el expediente administrativo se evidencia que las direcciones de correo electrónico de personas físicas expuestas se corresponden todas ellas con las personas físicas cuyos datos personales se incluían en el listado adjunto, sin que se haya producido una conculcación separada del artículo 5.1
  9. f)del RGPD independiente a la otra infracción del artículo 5.1
  10. f)contenida en este documento. En consecuencia, procede el archivo de esta presunta infracción. V Obligación incumplida. Integridad y confidencialidad La letra
  11. f)del artículo 5.1 del RGPD propugna: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/10 "1. Los datos personales serán: (…)
  12. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." En el presente caso, la documentación obrante en el expediente muestra que la CONSEJERÍA vulneró el artículo 5.1.
  13. f)del RGPD, al enviar, con fecha 28 de diciembre de 2023, un correo electrónico a todas las personas físicas – o sus representantesque debían personarse en alguno de los actos de conciliación ante el SEMAC programados para el ***FECHA.1. Además de exponer las direcciones electrónicas de los destinatarios, correspondiendo algunas de ellas a personas físicas, como documento anexo en el correo electrónico figuraba un listado con las citas de actos de conciliación en el que figuraban nombre y apellidos de los demandantes, representante, número de registro asignado al expediente, demandado y objeto o concepto del procedimiento (despido, cantidad o ambos). El listado incluía a la totalidad de los interesados que tenían cita el ***FECHA.1, por lo que todos los destinarios del correo electrónico pudieron acceder a la totalidad de los datos ahí incluidos, y no solo los propios. Lo anterior supone una vulneración del principio de integridad y confidencialidad en el tratamiento de los datos de carácter personal, así como una ausencia de medidas técnicas y organizativas de todo tipo para la salvaguarda del acceso por terceros no autorizados a los datos personales de los interesados. Por una parte, la CONSEJERÍA debió haber optado o por anonimizar los datos personales de las personas citadas, o por haber remitido la citación de forma separada a cada una de las personas citadas a los actos de conciliación. El principio de integridad y confidencialidad tiene como finalidad evitar que se realicen filtraciones de los datos personales no autorizadas por los titulares de estos. Asimismo, se observa una carencia de medidas dado que el envío del correo electrónico se realizó sin utilizar la funcionalidad de copia oculta, lo que posibilitó que terceros no autorizados accedieran a las direcciones de correo electrónico de los destinatarios, correspondiendo algunas de ellas a personas físicas. Los hechos han sido reconocidos por la CONSEJERIA en su escrito de 8/01/2025, por el que reconoce que a fecha de los hechos reclamados era habitual la remisión de los listados en los términos anteriormente señalados, hasta que en enero de 2024 se adoptaron medidas destinadas a posibilitar una notificación individualizada mediante la notificación por sede electrónica. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de resolución del procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a la CONSEJERÍA, por vulneración del artículo 5.1
  14. f)del RGPD transcrito anteriormente. VI Tipificación de la infracción del artículo 5.1.
  15. f)del RGPD y calificación a efectos de prescripción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/10 El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  16. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  17. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." VII Declaración de infracción El artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD, en su apartado 7, establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” El artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
  18. a)Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos.
  19. b)Los órganos jurisdiccionales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/10
  20. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.
  21. d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas.
  22. e)Las autoridades administrativas independientes.
  23. f)El Banco de España.
  24. g)Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público.
  25. h)Las fundaciones del sector público.
  26. i)Las Universidades Públicas.
  27. j)Los consorcios.
  28. k)Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/10 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica.” Este precepto establece que los procedimientos que tengan causa en infracciones en materia de protección de datos personales cometidas por las categorías de responsables o encargados del tratamiento enumerados en su apartado 1 se resolverán, en todo caso, declarando la infracción. En el presente caso, al encontrarse la parte reclamada entre los supuestos previstos en el artículo 77.1
  29. c)de la LOPDGDD, la resolución ha de “declarar la infracción”. Por lo tanto, de acuerdo con la legislación aplicable, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que CONSEJERÍA DE TURISMO Y EMPLEO con NIF S3511001D, ha infringido lo dispuesto en el artículo 5.1.
  30. f)del RGPD, infracción tipificada en el artículo 83.5 del RGPD. SEGUNDO: ARCHIVAR el procedimiento sancionador dirigido contra CONSEJERÍA DE TURISMO Y EMPLEO con NIF S3511001D por una presunta infracción del artículo 5.1
  31. f)del RGPD, tipificada en el artículo 83.5 del RGPD en los términos contenidos en este documento. TERCERO: NOTIFICAR la presente resolución a CONSEJERÍA DE TURISMO Y EMPLEO con NIF S3511001D. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/10 contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  32. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-100325 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.