1/7 Expediente Nº: PS/00428/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 20 de mayo de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra SERVICIO GALLEGO DE SALUD con CIF Q6550006H (en adelante, SERGAS). Los motivos en que basa la reclamación son los siguientes: Expone la parte reclamante que se ha facilitado su escrito de denuncia por acoso laboral contra dos compañeras del departamento de ***DEPARTAMENTO.1 del Hospital ***HOSPITAL.1, a las trabajadoras implicadas en ello. El 28/1/21 remitió un escrito a la comisión de investigación de la denuncia por acoso, en el que exponía la filtración de la denuncia y la vulneración del principio de confidencialidad que rige el procedimiento. La parte reclamante manifiesta que además, en el escrito de denuncia, constaba su DNI, domicilio y otros datos que no se tenían que haber facilitado a las denunciadas. Junto a la reclamación se aporta la denuncia por acoso laboral, el escrito remitido a la Comisión, un escrito de la denuncia por acoso en el que constan unas anotaciones realizadas por las denunciadas, el informe en el que constan las conclusiones de la Comisión y el Procedimiento de actuación frente a situaciones de acoso laboral y otras discriminaciones en el trabajo del Servicio Gallego de Salud. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación al SERGAS, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. No consta en el expediente que, por parte del SERGAS, se diera respuesta al traslado de la reclamación. TERCERO: Con fecha 18 de agosto de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 27/09/2021 se recibe en esta agencia, a través de Gestión Integrada de Servicios de Registro ( GEISER), un escrito del SERGAS en el que se expone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 -Que la parte reclamante presta servicios como XXXXXXX en el Hospital Universitario ***HOSPITAL.1, dependiente del SERGAS, en virtud de nombramiento de interinidad en plaza vacante. -Que la parte reclamante ha presentado escritos en los que denunció ser víctima de acoso laboral por parte de otras dos trabajadoras que también prestan servicio como XXXXXXX, aunque en diferente turno, por lo que hace años que no coinciden en el horario de trabajo. -Que previo consentimiento de la parte denunciante e información a todas las partes implicadas se inició el procedimiento de investigación previsto en el Procedimiento de Actuación Frente a Situaciones de Acoso Laboral y Otras Discriminaciones en el Trabajo (P-PRL-19) -A tales efectos, se designó la comisión de investigación formada por profesionales designados por la dirección del Área Sanitaria, y las Organizaciones Sindicales. -La Comisión realizo una investigación de los hechos, teniendo efectuadas entrevistas a las partes denunciante y denunciada, así como a responsables de la unidad y testigos varios. Tras el análisis correspondiente emitió informe de fecha 1 de marzo de 2021, considerando que no existían conductas propias de acoso. -En el seno del procedimiento de investigación, las personas denunciadas por acoso solicitaron copia de los documentos obrantes en el expediente, y siguiendo lo establecido en el artículo 53.1.
- a)de la Ley 39/2015 de 1 de octubre del Procedimiento Administrativo común, se accedió a lo solicitado y se facilitó copia de los documentos que obran en el expediente a las partes interesadas en el mismo. Por tanto, la entrega del escrito de denuncia no se trató de una filtración. -Respecto al hecho de que la parte reclamante pudiera haber tenido acceso posteriormente a las copias de los citados documentos, sugiriendo una indebida custodia de los mismos, el Hospital ***HOSPITAL.1 realizó una investigación interna, constando lo siguiente: -La parte reclamante manifestó en otros procedimientos (queja ante la oficina del Valedor do Pobo de Galicia) que por parte del personal de limpieza le habían entregado copia de los documentos que constituían la denuncia en el procedimiento de acoso (es decir, los que ella misma había entregado y cuya copia se facilitó a las partes denunciadas) -Sin embargo, de las investigaciones llevadas a cabo se desprenden conclusiones diferentes. Consta declaración de la limpiadora B.B.B. quien manifiesta que, prestando labores de limpieza en turno de tarde en la unidad de lencería, se dirigió a ella la parte reclamante solicitándole que le permitiera acceder a la zona de trabajo de las trabajadoras denunciadas por acoso. La limpiadora no impido el acceso dado que la parte reclamante era trabajadora C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 de la misma unidad. También manifiesta que pudo observar cómo accedía a la mesa de trabajo y armarios utilizados por las denunciadas habitualmente, donde tenían guardadas las copias que se les habían entregado en el seno del procedimiento de acoso. QUINTO: Con fecha 18 de febrero de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al SERGAS, por la presunta infracción del Artículo 5.1.
- c)del RGPD, tipificada en el Artículo 83.5 del RGPD. Notificado el citado acuerdo de inicio, el SERGAS presentó escrito de alegaciones en el que, en síntesis, manifestaba que: 1-Al no haberse dirigido la AEPD a la Conselleria de Sanidade, no han tenido constancia previa del procedimiento. A este respecto hay que señalar que la solicitud de información y traslado de la reclamación presentada en esta Agencia por la parte reclamante se dirigió al SERGAS, a la atención del responsable del tratamiento o de su Delegado de Protección de Datos, a través del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada, constando como recibido en fecha 14/06/2021. Asimismo hay que indicar que el artículo 14 de la ley 40/2015 de Régimen Jurídico del Sector Publico establece en su apartado primero: “1. El órgano administrativo que se estime incompetente para la resolución de un asunto remitirá directamente las actuaciones al órgano que considere competente, debiendo notificar esta circunstancia a los interesados.” Por tanto, si el receptor del escrito enviado por la AEPD no era el indicado para resolver el asunto debió remitirlo al órgano correspondiente, sin que ello pueda considerarse responsabilidad de la AEPD, por lo que no cabe admitir tal alegación. 2-Alega el SERGAS que en un procedimiento de actuación frente a situaciones de acoso laboral y otras discriminaciones en el trabajo, el formulario de denuncia recoge la documentación acordada por todos los responsables de la elaboración de dicho protocolo y el resto de documentación ha sido la que la Comisión tramitadora de estimado necesaria recabar para tramitar dicho expediente. Debido a ello, el A.S. Lugo aportó en su totalidad la documentación a las partes interesadas que así lo habían reclamado. A este respecto hay que señalar que datos de carácter personal como el número del DNI o el domicilio, no son necesarios, pertinentes ni adecuados para el ejercicio de la defensa de las trabajadoras denunciadas en el procedimiento de acoso laboral. SEXTO: Con fecha 30 de marzo de 2022 se formuló propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se sancione a SERVICIO GALLEGO DE SALUD (SERGAS), con CIF Q6550006H, por una infracción del Artículo 5.1.
- c)del RGPD, tipificada en el Artículo 83.5 del RGPD, con un apercibimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 Notificada la propuesta de resolución y transcurrido el plazo para ello, no consta que se hayan presentado nuevas alegaciones por parte del SERGAS. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes HECHOS PRIMERO: Consta acreditado que la parte reclamante presta servicios como XXXXXXX en el Hospital Universitario ***HOSPITAL.1, dependiente del SERGAS, y que ha presentado escritos en los que denunció ser víctima de acoso laboral por parte de otras dos trabajadoras que también prestan servicio como XXXXXXX, aunque en diferente turno. SEGUNDO: Consta acreditado que se inició el procedimiento de investigación previsto en el Procedimiento de Actuación Frente a Situaciones de Acoso Laboral y Otras Discriminaciones en el Trabajo (P-PRL-19), y que en el seno del procedimiento de investigación, las personas denunciadas por acoso solicitaron copia de los documentos obrantes en el expediente, y siguiendo lo establecido en el artículo 53.1.
- a)de la Ley 39/2015 de 1 de octubre del Procedimiento Administrativo común, se accedió a lo solicitado y se facilitó copia de los documentos que obran en el expediente. TERCERO: Consta acreditado que el SERGAS ha puesto de manifiesto datos de carácter personal no necesarios, pertinentes ni adecuados, como son el número del DNI o el domicilio, al dar traslado de la denuncia por acoso laboral presentada por la parte reclamante, para el ejercicio de la defensa de las trabajadoras denunciadas en el procedimiento de acoso laboral. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Principio de minimización del tratamiento de datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 Se imputa al SERGAS la comisión de una infracción al artículo 5.1.
- c)del RGPD. El artículo 5, “Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: (…)
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);” El artículo 83.5 del RGPD, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” De la instrucción llevada a cabo en el presente procedimiento se concluye que el SERGAS ha vulnerado lo establecido en el artículo 5.1.
- c)del RGPD, al dar traslado de la queja presentada por la parte reclamante a las trabajadoras denunciadas por acoso laboral, sin omitir datos innecesarios para su defensa, tales como el DNI y el domicilio de la interesada. Queda, por tanto, acreditada la infracción al artículo 5.1.
- c)del RGPD. III Sanción por la infracción del artículo 5.1.
- c)del RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 El artículo 83 apartado 7 del RGPD, dispone lo siguiente: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58 apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” Asimismo, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: (…)
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. (…) 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. (…) 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. IV Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER al SERVICIO GALLEGO DE SALUD (SERGAS), con NIF Q6550006H, por una infracción del Artículo 5.1.
- c)del RGPD, tipificada en el Artículo 83.5 del RGPD, una sanción de apercibimiento. SEGUNDO: NOTIFICAR la presente resolución a SERVICIO GALLEGO DE SALUD (SERGAS). TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-100322 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es