1/18 Expediente N.º: EXP202209596 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 22 de febrero de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a BLU MANAGEMENT SPAIN, S.L. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202209596 IMI Reference: A56ID 437951- Case Register 550411 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) interpuso reclamación ante la autoridad de protección de datos del Francia. La reclamación se dirige contra BLU MANAGEMENT SPAIN, S.L. con NIF B66500661 (en adelante, BLU MANAGEMENT). Los motivos en que basa la reclamación son los siguientes: La parte reclamante contactó con BLU MANAGEMENT, que es una agencia de reclutamiento, para optar a un puesto de trabajo alrededor de mayo de 2021, y tuvo una entrevista telefónica con B.B.B. (en adelante, el consultor de BLU MANAGEMENT). Posteriormente, el 26 de julio de 2021, la parte reclamante recibió una serie de mensajes a través de WhatsApp (…), donde había trabajado la parte reclamante. La persona que le envió estos mensajes de WhastApp le indicó que quien le había facilitado sus datos de contacto era el consultor de BLU MANAGEMENT. La parte reclamante indica que no había dado permiso a BLU MANAGEMENT para compartir sus datos con terceros. Por este motivo, contactó con BLU MANAGEMENT el 26, 27 y el 30 de julio de 2021, habiendo obtenido respuesta de ellos, pero considera que lo que han realizado no es suficiente para tratar estos hechos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/18 Junto a la reclamación se aporta: - Impresión de correo electrónico enviado por la parte reclamante a contact@blueselection.com fechado el 26 de julio de 2021 en el que la parte reclamante expone los hechos y solicita que se haga llegar el correo al delegado de protección de datos (en adelante, DPD) de la compañía, expresado en los siguientes términos: “T(...) message is aimed at the DPO of your company. Dear Madam, Sir, Tonight, I have been approached by a close friend of one of your employees who gave away my personal phone number. Long story short, I was in touch with one of your employees from the recruitment team a couple of month ago. T(...) employee - I'll be happy to provide you (...) name - gave away my phone number to (...) friend so I can help (...) resolving (...) issues (...). Your employee's friend contacted me by whatsapp tonight and I was able to get clear confirmation that my interviewer from Bluselection was the one who gave my phone number away. Tchat transcript ready to be provided to you as proof. I would like to highlight the fact that t(...) is a serious matter. First of all, I find quite alarming that your employees use your company data to resolving their friends private matters. (...). Second, I certainly did not consent my data to be used for your employees private matters. Third, I know quite well the GDPR and the scenario where an employee of a company uses personal data for (...) own sake or (...) friends' sake is definitely not allowed. I want to be contacted urgently on t(...) matter that is unacceptable. You can contact me by phone (***TELÉFONO.1) or by email in english or french. If I don't hear from your DPO real soon, I will quick launch all procedures to sue your company.” [Traducción no oficial: “Este mensaje está dirigido al DPO de su empresa. (…) Esta noche, he sido abordado por (…) al que dio mi número de teléfono personal. En resumen, estuve en contacto con uno de sus (…) del equipo de reclutamiento hace un par de meses. (…) — Estaré encantada de proporcionar su nombre — dio mi número de teléfono a su ***PARENTESCO.1 para que pueda ayudarle (…). El ***PARENTESCO.1 de su ***PUESTO.1 me contactó por whatsapp esta noche y pude obtener una confirmación clara de que mi ***PUESTO.2 de BluSelection fue el que le dio mi número de teléfono. Tengo una transcripción del chat lista para proporcionársela a usted como prueba. Quisiera destacar el hecho de que se trata de un asunto serio. En primer lugar, me parece bastante alarmante que sus ***PUESTO.1 usen los datos de su empresa para resolver asuntos privados de sus amigos (…). En segundo lugar, ciertamente no di permiso para que mis datos fueran utilizados por sus ***PUESTO.1 para asuntos privados. En tercer lugar, conozco bastante bien el RGPD y el escenario en el que un ***PUESTO.1 de una empresa utiliza los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/18 datos personales para su propio beneficio o para el de sus amigos definitivamente no está permitido. Quiero que me contacten urgentemente sobre este asunto que es inaceptable. Puede ponerse en contacto conmigo por teléfono (***TELÉFONO.1) o por correo electrónico en inglés o francés. Si no tengo noticias de su DPD muy pronto, iniciaré rápidamente todos los procedimientos para demandar a su empresa.”] - Impresión de correo electrónico enviado por la parte reclamante a ***EMAIL.1 fechado el 27 de julio de 2021 en el que la parte reclamante confirma que ha sido contactada por teléfono por un ***PUESTO.1 de BLUE MANAGEMENT y solicita el ejercicio de sus derechos en los siguientes términos: “Thank you for your call today. Following our conversation today, I was contacted yesterday evening by a friend of one of your former employees B.B.B.. had access to my data while (…) was an employee of yours and gave my personal phone number away to (...) friend (tchat transcript attached). I never consented for my data to be disclosed to third parties such as friends of your employees; hence, as I, the data subject, am victim of a breach of my data, I request: 1- Immediate erasure of the data you hold about me. I also want a copy of these data that you should provide me with within 30 days from today as per the GDPR. T(...) is a Data Access Request. 2- I understand B.B.B. is no longer one of your employees. However, it raises some concerns. I would like to know the actions you are gonna take to make sure t(...) kind of scenario never happens again to some one else. 3- As there is a violation of my rights (you have not been able to hold my data safely and avoid your former employee to send them away), I would like to be compensated. Failing to respond to my requests within 30 days from today will result in a complaint filled to the AEPD. They will then decide what compensation is fair for t(...) data breach.” [Traducción no oficial: “Gracias por su llamada hoy. Después de nuestra conversación de hoy, fui contactado ayer por la noche por un ***PARENTESCO.1 (…) de sus ex ***PUESTO.1 B.B.B.. tuvo acceso a mis datos mientras era ***PUESTO.1 suyo y le dio mi número de teléfono personal a su ***PARENTESCO.1 (se adjunta la transcripción detchat). Nunca consentí que mis datos se divulgaran a terceros, como amigos de sus ***PUESTO.1; por lo tanto, como yo, el interesado, soy víctima de una violación de mis datos, solicito: 1- Borrar inmediatamente los datos que tienes sobre mí. También quiero una copia de estos datos que debe proporcionarme dentro de los 30 días a partir de hoy según el GDPR. Esta es una solicitud de acceso a datos. Entiendo que B.B.B. ya no es uno de sus ***PUESTO.1. Sin embargo, plantea algunas preocupaciones. Me gustaría saber las acciones que vas a tomar para asegurarte de que este tipo de escenario nunca vuelva a suceder a alguien más. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/18 3- Como hay una violación de mis derechos (no ha podido conservar mis datos de forma segura y evitar que su ***PUESTO.1 los envíe), me gustaría recibir una compensación. No responder a mis solicitudes dentro de 30 días a partir de hoy dará lugar a una queja llena a la AEPD. Luego decidirán qué compensación es justa por esta violación de datos.”] Se observa que a este correo se adjunta un documento de texto que la parte reclamante indica que es la transcripción de la conversación de whatsapp a la que hace mención dentro del cuerpo del correo electrónico. - Impresión de correo electrónico enviado por ***EMAIL.1 a la parte reclamante, fechado el 27 de julio de 2021 en el que confirma la recepción del anterior correo electrónico en los siguientes términos: “Hi A.A.A., Thank you for your time during our phone call and the information you gave me. By my email answer, I confirm the reception of your requests. As mention on our call, I will directly transfer t(...) topic to my direction and our Legal advisor. We will come back to you as soon as possible. I wish you a pleasant day. Kind regards,” [Traducción no oficial: “Hola A.A.A., Gracias por su tiempo durante nuestra llamada telefónica y la información que me dio. Con mi respuesta por correo electrónico, confirmo la recepción de sus solicitudes. Como comentamos en nuestra llamada, transferiré este tema directamente a mi dirección y a nuestro asesor legal. Le contestaremos tan pronto como sea posible. Le deseo un día agradable. Saludos cordiales,”] - Impresión de correo electrónico enviado por ***EMAIL.2 a la parte reclamante, fechado el 30 de julio de 2021 en el que se ofrece la siguiente información: “First of all, please accept our apologies for the unwanted events, of which we found out through your email and the telephone conversation held on July 26th with our Recruitment Manager, C.C.C.. We would like to inform you that B.B.B. has not been a member of t(...) organization since last June 30. That on the date he left our Company, all access permissions to the candidates database were withdrawn and (...) email account has been blocked. Additionally, we have contacted B.B.B. with whom we have signed a confidentiality and non-concurrence agreement and he has certified the destruction of (...) contact information (name and mobile phone number). Likewise, we inform you that, to avoid t(...) situation to occur again, all Blu Selection employees who terminate their contracts or are dismissed will sign a Confidentiality and Non-Attendance Agreement, so as to guarantee that they do not have in their possession personal data of which our company is a Data C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/18 Controller. In addition, we are going to initiate a Data Protection Impact Assessment and the activity of employees regarding access to personal data will be monitored. In relation to your request to exercise your right of access to the personal data held by Blu Selection, according to arts. 15 and 13 respectively of the GDPR and the Spanish Data Protection Act, we indicate that we only have the personal data included in your resume (identification data, academic data and data on professional experience) that you sent us on May 1, 2021 in order to participate in the selection processes managed by t(...) company. We attach a copy of it. Finally, we inform you that we have proceeded, as you have requested, to cancel and erase all your personal data for which Blu Selection is Controller in accordance with the GDPR and the Spanish Data Protection Act, including all emails and other messages and communication received. Serve t(...) communication as a means of proof of the cancellation of your personal data.” [Traducción no oficial: “En primer lugar, por favor acepte nuestras disculpas por estos acontecimientos no deseados, de los cuales nos enteramos a través de su correo electrónico y la conversación telefónica celebrada el 26 de julio con nuestra Gerente de Reclutamiento, C.C.C.. Nos gustaría informarle que B.B.B. no es miembro de esta organización desde el pasado 30 de junio. Que en la fecha en que dejó nuestra Compañía, todos los permisos de acceso a la base de datos de candidatos fueron retirados y su cuenta de correo electrónico ha sido bloqueada. Además, nos hemos puesto en contacto con B.B.B. con quien hemos firmado un acuerdo de confidencialidad y no concurrencia y ha certificado la destrucción de su información de contacto (nombre y número de teléfono móvil). Asimismo, le informamos que, para evitar que esta situación vuelva a ocurrir, todos los ***PUESTO.1 de Blu Selection que rescindan sus contratos o sean despedidos firmarán un Acuerdo de Confidencialidad y No Asistencia, con el fin de garantizar que no tienen en su poder datos personales de los que nuestra empresa es Responsable de Datos. Además, vamos a iniciar una Evaluación de Impacto de Protección de Datos y se supervisará la actividad de los ***PUESTO.1 con respecto al acceso a los datos personales. En relación con su solicitud de ejercicio de su derecho de acceso a los datos personales en poder de Blu Selection, según los artículos 15 y 13 respectivamente del RGPD y de la Ley Española de Protección de Datos, indicamos que solo tenemos los datos personales incluidos en su currículum (datos de identificación, datos académicos y datos sobre experiencia profesional) que nos envió el 1 de mayo de 2021 con el fin de participar en los procesos de selección gestionados por esta empresa. Adjuntamos una copia del mismo. Por último, le informamos que hemos procedido, como usted ha solicitado, a cancelar y borrar todos sus datos personales para los que Blu Selection es Responsable del tratamiento de conformidad con el RGPD y la Ley Española de Protección de Datos, incluidos todos los correos electrónicos y demás mensajes y comunicaciones recibidos. Sirva esta comunicación como medio de prueba de la cancelación de sus datos personales.”] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/18 Se observa que a este correo se adjunta un documento en formato PDF denominado “***URL.1”. - Impresión de correo electrónico enviado por la parte reclamante a ***EMAIL.2 fechado el 30 de julio de 2021, como contestación al anterior correo, con el siguiente contenido: “Dear Data Protection Officer, Thank you for your email. I appreciate you fulfilled most of my requests within a short period of time. The content of your email is an admission of liability on your part (especially paragraph 3). In fact, your employee at that time (up until June 30th 2021) was able to circumvent your systems to extract my data without your knowledge and at my prejudice. Even though you should have performed the DPIA way before such critical situation happened to prevent it from occurring, I appreciate you are now willing to assess your company. Nonetheless, as the employer of B.B.B. you failed to store my data safely. As a victim of a prejudice I ask for a reasonable compensation for your failure. If I do not hear from you before August, 27th 2021 or if your final answer stands where it is at t(...) point, I will have to contact the AEPD to make them aware of t(...) situation and ask for their guidance to find an amicable solution. I look forward to hearing from you.” [Traducción no oficial: “Estimado delegado de protección de datos: Gracias por su correo electrónico. Agradezco que haya cumplido la mayoría de mis peticiones en un corto período de tiempo. El contenido de su correo electrónico es una admisión de responsabilidad por su parte (especialmente el párrafo 3). De hecho, su ***PUESTO.1 en ese momento (hasta el 30 de junio de 2021) pudo eludir sus sistemas para extraer mis datos sin su conocimiento y para mi perjuicio. A pesar de que debería haber realizado la DPIA mucho antes de que sucediera una situación tan crítica para evitar que ocurra, aprecio que ahora esté dispuesto a evaluar su empresa. No obstante, como ***PUESTO.1 de B.B.B. no almacenó mis datos de forma segura. Como víctima de un perjuicio le pido una compensación razonable por su fallo. Si no tengo noticias de usted antes del 27 de agosto de 2021 o si su respuesta final sigue en este mismo punto, tendré que contactar con la AEPD para informarles de esta situación y pedirles su orientación para encontrar una solución amistosa. Espero saber de usted.”] - Transcripción de una conversación de whatsapp fechada el 26 de julio de 2021 en la que, entre otra información, se indica lo siguiente: “26/07/2021, 20:39 - ***TELÉFONO.2: Hello! I hope you are doing good. My name is D.D.D. and I got your phone number from a friend who did an interview with you. Since he knew that I had problems with my ***CUENTA.1 he kindly gave me your number. The problem with my business and my private account is, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/18 that I got permanently banned from ***CUENTA.1. I do not know why t(...) happened sinced I used my accounts in a normal way. When I ask for help or contact the support they will not give me an answer or solutions for t(...) problem, so I wanted to ask you If you know a way to solve t(...) misunderstanding. It would mean a lot if you could take the time to answer. Thank you in advance. 26/07/2021, 20:39 - ***TELÉFONO.2: Kind Regards 26/07/2021, 20:39 - ***TELÉFONO.2: D.D.D. 26/07/2021, 20:42 - A.A.A.: Hi. What is the name of your friend who supposedly did an interview with me? 26/07/2021, 20:46 - ***TELÉFONO.2: I will ask for permission to give out (...) name and come back to you in a second. 26/07/2021, 20:46 - A.A.A.: If you dont tell me how you got t(...) number I wont be able to assist 26/07/2021, 20:47 - ***TELÉFONO.2: I fully understand that, I just want to make sure my friend is ok with t(...) 26/07/2021, 20:48 - A.A.A.: Well, if your friend gave you my private number it means he is also my friend. That shouldnt be an issue to provide (...) name 26/07/2021, 20:49 - ***TELÉFONO.2: He got your number from a interview with (...). You contacted the company he worked in, so you do not know (...) personally 26/07/2021, 20:50 - A.A.A.: What company? 26/07/2021, 20:51 - ***TELÉFONO.2: As soon as my friend will give me the Ok I will be transparent with all the information you need 26/07/2021, 20:53 - A.A.A.: Look mate. You are coming out of the blue requesting my help but you dont want to tell me where you got my private number from. If I dont have at least the name of the company and ideally the ame of the person who gave it to you within 5min, you are gonna have to deal with ***CUENTA.1 directly I am afraid 26/07/2021, 20:55 - ***TELÉFONO.2: ok I just called (...), the company is called blue selection 26/07/2021, 20:56 - A.A.A.: In spain 26/07/2021, 20:56 - A.A.A.: ? 26/07/2021, 20:56 - ***TELÉFONO.2: yes” … “26/07/2021, 21:10 - A.A.A.: Is it B.B.B. who gave you my number? 26/07/2021, 21:11 - ***TELÉFONO.2: I agreed with (...) that I do not give the name away, I also do not know your name or anything 26/07/2021, 21:11 - A.A.A.: So t(...) is (...)? 26/07/2021, 21:12 - ***TELÉFONO.2: Why is t(...) necessary? 26/07/2021, 21:12 - A.A.A.: Because I dont know you 26/07/2021, 21:13 - A.A.A.: I need some reassurance here 26/07/2021, 21:13 - ***TELÉFONO.2: I fully understand, but you know that my request is legit since I know the name of the company 26/07/2021, 21:14 - A.A.A.: I had contact only with (...), so t(...) is (...) 26/07/2021, 21:15 - ***TELÉFONO.2: I will not give away the name of the person, I know that I can not give you any value for helping me 26/07/2021, 21:15 - ***TELÉFONO.2: I could pay you if it is possible to solve t(...) problem C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/18 26/07/2021, 21:17 - A.A.A.: Look mate you are going too far. T(...) has to stop. I am no longer an employee of ***CUENTA.1 and surely did not consent for my personal number to be given away. Please contact ***CUENTA.1 26/07/2021, 21:17 - ***TELÉFONO.2: Ok, I am sorry for disturbing you. I will delete your number right away. 26/07/2021, 21:19 - You blocked t(...) contact. Tap to unblock.” [Traducción no oficial: “26.7.2021, 20:39 — ***TELÉFONO.2: ¡Hola! Espero que estés bien. Mi nombre es D.D.D. y obtuve tu número de teléfono de un ***PARENTESCO.1 que hizo una entrevista contigo. Ya que sabía que tenía problemas con mi cuenta de ***CUENTA.1, amablemente me dio su número. El problema con mi negocio y mi cuenta privada es que ***CUENTA.1 me prohibieron permanentemente utilizarla. No sé por qué sucedió esto porque usé mis cuentas de una manera normal. Cuando pido ayuda o contacto con el soporte no me dan una respuesta o soluciones para este problema, así que quería preguntarte si sabes una manera de resolver este malentendido. Significaría mucho si pudieras tomarte el tiempo para responder. Gracias de antemano. 26.7.2021, 20:39 — ***TELÉFONO.2: Saludos cordiales 26.7.2021, 20:39 — ***TELÉFONO.2: D.D.D. 26.7.2021, 20:42 — A.A.A.: Hola. ¿Cuál es el nombre de tu ***PARENTESCO.1 que supuestamente hizo una entrevista conmigo? 26.7.2021, 20:46 — ***TELÉFONO.2: Pediré permiso para dar su nombre y te contesto en un segundo. 26.7.2021, 20:46 — A.A.A.: Si no me dices cómo conseguiste este número, no podré ayudarte. 26.7.2021, 20:47 — ***TELÉFONO.2: Lo entiendo completamente. Solo quiero asegurarme de que mi ***PARENTESCO.1 esté de acuerdo con esto. 26.7.2021, 20:48 — A.A.A.: Bueno, si tu ***PARENTESCO.1 te dio mi número privado significa que también es mi ***PARENTESCO.1. Eso no debería ser un problema para proporcionar su nombre 26.7.2021, 20:49 — ***TELÉFONO.2: Obtuvo tu número de una entrevista con él. Se puso en contacto con la empresa en la que trabajó, por lo que no lo conoce personalmente. 26.7.2021, 20:50 — A.A.A.: ¿Qué compañía? 26.7.2021, 20:51 — ***TELÉFONO.2: Tan pronto como mi ***PARENTESCO.1 me dé el Ok seré transparente con toda la información que necesite 26.7.2021, 20:53 — A.A.A.: Mira ***PARENTESCO.1. Vienes de la nada solicitando mi ayuda pero no quieres decirme de dónde sacaste mi número privado. Si no tengo al menos el nombre de la empresa e idealmente el nombre de la persona que te lo dio dentro de 5 minutos, vas a tener que lidiar con ***CUENTA.1 directamente. 26.7.2021, 20:55 — ***TELÉFONO.2: OK, acabo de llamarlo, la compañía se llama blu selection. 26.7.2021, 20:56 — A.A.A.: En España 26.7.2021, 20:56 — A.A.A.: 26.7.2021, 20:56 — ***TELÉFONO.2: sí” ... “26.7.2021, 21:10 — A.A.A.: ¿Es B.B.B. quien te dio mi número? C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/18 26.7.2021, 21:11 — ***TELÉFONO.2: Acordé con él en que no dar su nombre, tampoco sé tu nombre ni nada. 26.7.2021, 21:11 — A.A.A.: ¿Así que es él? 26.7.2021, 21:12 — ***TELÉFONO.2: ¿Por qué es necesario? 26.7.2021, 21:12 — A.A.A.: Porque no te conozco 26.7.2021, 21:13 — A.A.A.: Necesito un poco de seguridad aquí 26.7.2021, 21:13 — ***TELÉFONO.2: Entiendo perfectamente, pero sabes que mi petición es legítima ya que conozco el nombre de la empresa 26.7.2021, 21:14 — A.A.A.: Solo tuve contacto con él, así que es él. 26.7.2021, 21:15 — ***TELÉFONO.2: No daré el nombre de la persona, sé que no puedo darte ningún valor por ayudarme 26.7.2021, 21:15 — ***TELÉFONO.2: Podría pagarte si es posible resolver este problema. 26.7.2021, 21:17 — A.A.A.: Mira amigo, vas demasiado lejos. Esto tiene que parar. Ya no soy empleada de ***CUENTA.1 y estoy segura de que no consentí que mi número personal fuera dado a otros. Póngase en contacto con ***CUENTA.1 26.7.2021, 21:17 — ***TELÉFONO.2: OK, lamento molestarte. Eliminaré tu número de inmediato. 26/07/2021, 21:19 — Usted bloqueó este contacto. Toque para desbloquear.”] SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo Sistema IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se transmitió la citada reclamación el día 14 de septiembre de 2022 y se le dio fecha de registro de entrada en la Agencia Española de Protección de Datos (AEPD) el 15 de septiembre de 2022. El traslado de esta reclamación a la AEPD se realizó de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal, dado que BLU MANAGEMENT tiene su establecimiento único en España. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, la autoridad de protección de datos de Francia actúa como autoridad interesada, de acuerdo con lo dispuesto en el artículo 4.22) letra
Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.