1/5 Expediente Nº: PS/00456/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: En fecha 16 de diciembre de 2020, tuvo entrada en esta Agencia Española de Protección de Datos (en adelante AEPD) escrito de reclamación, presentado por A.A.A. contra ILUNION SEGURIDAD, S.A. con NIF A78917465. En particular por las siguientes circunstancias: La parte recurrente manifestó en la reclamación inicial presentada que se enviaron comunicaciones laborales a los teléfonos particulares sin haber prestado su consentimiento y que se han revelado las direcciones de correo electrónico personales de los trabajadores al enviar correos electrónicos sin utilizar la opción de envío con copia oculta a todos los destinatarios del correo electrónico. Junto a su reclamación la parte recurrente aporta copia del correo electrónico remitido a varios destinatarios sin utilizar la opción de copia oculta, así como copia de los mensajes instantáneos de la aplicación WhatsApp recibidos por la parte recurrente y otros trabajadores y remitidos por la empresa en la que prestan sus servicios. Finalmente, la parte recurrente alega en su reclamación inicial que en ningún momento ha dado su consentimiento para ser incluido en grupos de comunicación de mensajería instantánea de la aplicación WhatsApp ni para recibir correos electrónicos de carácter laboral sin que sea utilizada la opción de copia oculta de los remitentes habiéndose dado a conocer al resto de trabajadores su dirección de correo electrónico sin su consentimiento. SEGUNDO: De acuerdo con el mecanismo previo a la admisión a trámite de las reclamaciones que se formulan ante la AEPD, previsto en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), que consiste en dar traslado de las mismas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, o a éstos cuando no los hubieren designado, y con la finalidad señalada en el referido artículo, se dio traslado de la reclamación a ILUNION SEGURIDAD, S.A. (en adelante, la parte reclamada) para que procediera a su análisis y diera respuesta en el plazo de un mes, lo que verificó mediante escrito de fecha de entrada en esta Agencia de 4 de marzo de 2021. TERCERO: En fecha 15 de abril de 2021, tras analizarse la documentación que obraba en el expediente, se dictó resolución por la directora de la Agencia Española de Protección de Datos, acordando el archivo de la reclamación. La resolución fue notificada a la parte recurrente, en fecha 15 de abril de 2021, a través del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada según certificado que figura en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 CUARTO: En fecha 22 de abril de 2021, la parte recurrente interpone un recurso potestativo de reposición ( RR/00267/2021 ) a través del Registro Electrónico de la AEPD, contra la resolución recaída en el expediente E/00631/2021, en el que muestra su disconformidad con la resolución impugnada, argumentando que el hecho de no haber mostrado disconformidad al tratamiento de datos personales no habilita a la parte reclamada a utilizar los datos personales como correo electrónico o número de teléfono particular, no corporativo para las comunicaciones realizadas. Asimismo, añade que las comunicaciones realizadas por el servicio de mensajería de Whatsapp no fueron con motivo de un ERTE sino para la organización de turnos de trabajo comunicados fuera del horario laboral y el hecho de que los trabajadores realicen su trabajo en el exterior no implica que tengan que hacerse las comunicaciones a teléfonos móviles particulares ya que la parte reclamada cuenta con una oficina física en el centro de trabajo. QUINTO: Analizando las alegaciones de la parte recurrente del RR/00267/2021, esta Agencia considera que la parte reclamada no ha justificado la necesidad ni la proporcionalidad de la medida adoptada a efectos de remitir las comunicaciones de carácter laboral a los trabajadores ni ha justificado la necesidad de disponer de más de un dato de contacto. Por todo ello, el 30 de julio de 2021, la Directora de la Agencia Española de Protección de Datos resuelve estimar dicho recurso de reposición, generándose así la apertura del presente procedimiento sancionador. SEXTO: Con fecha 11 de noviembre de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del artículo 5.1.
- f)del RGPD y artículo 32 del RGPD, tipificadas en el artículo 83.5 del RGPD. SEPTIMO Notificado el citado acuerdo de inicio, el reclamado presentó escrito de alegaciones en el que, en síntesis, manifiesta que no existe la necesaria congruencia entre los hechos y fundamentos en los que se basa la resolución que revoca el archivo mediante el recurso potestativo de reposición ( RR/00267/2021 ) de la actividad inspectora, por lo que a juicio de la entidad reclamada, con las imputaciones que se realizan en el presente Acuerdo de inicio de expediente sancionador, no es posible fundamentar el Acuerdo por el que se pretende sancionarle. OCTAVO: Con fecha 16 de diciembre de 2021, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, así como los documentos aportados por el reclamado. NOVENO: Con fecha 22 de diciembre de 2021 se formuló propuesta de resolución, proponiendo que la Directora de la Agencia Española de Protección de Datos sancione a ILUNION SEGURIDAD, S.A., con NIF A78917465, por una infracción del artículo 5.1.
- f)del RGPD tipificada en el artículo 83.5 del RGPD, con una multa de 100.000€ (cien mil euros) y por una infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD, con una multa de 50.000€ (cincuenta mil euros) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 DÉCIMO: Con fecha 29 de diciembre de 2021, se presentan alegaciones a la propuesta de resolución reiterando las alegaciones presentadas ante el acuerdo de inicio, que en esencia consisten en su oposición a la resolución dictada en el recurso de reposición RR/00267/2021, así como la no notificación del citado recurso de reposición. HECHOS PROBADOS PRIMERO: Se han realizado envío de comunicaciones relativas al ámbito laboral a través del teléfono personal, revelándose direcciones de correo electrónico personales de los trabajadores al no ser utilizada la opción de envío con copia oculta a todos los destinatarios del correo electrónico, y todo ello sin el consentimiento de los titulares de tales datos personales (número de teléfono y dirección de correo electrónico) SEGUNDO: En respuesta al traslado cursado por esta Agencia, el 4 de marzo de 2021, el reclamado responde alegando que las comunicaciones realizadas a los trabajadores traían causa en la necesidad de las mismas para el mantenimiento y cumplimiento de la relación laboral entre la entidad y dichos trabajadores, refiriéndose las comunicaciones a asuntos puramente laborales que exigen una actuación puntual e inmediata, tales como: formaciones puntuales, comunicaciones por ERTE o comunicaciones por subrogación. Añadiendo además que los vigilantes de seguridad por razón de su profesión prestan habitualmente sus servicios fuera de las instalaciones de la entidad, por lo que se hace imprescindible el establecimiento de un canal de comunicación ágil y eficaz, máxime en la actual situación de crisis sanitaria, por lo que la base jurídica que legitima dicho tratamiento descansa en la necesidad del mismo para la ejecución del contrato laboral en el que el reclamante era parte. En base a ello, en fecha 15 de abril de 2021, se acuerda el archivo de la reclamación. TERCERO: El 22 de abril de 2021 se interpone recurso potestativo de reposición contra la resolución dictada archivando el expediente, por parte del recurrente, alegando que las comunicaciones realizadas por el reclamado no eran para hechos puntuales, sino para la organización de turnos de trabajo y que el hecho de que los trabajadores realicen su trabajo en el exterior no implica que tengan que hacerse las comunicaciones utilizando los teléfonos móviles particulares ya que la parte reclamada cuenta con una oficina física en el centro de trabajo. Tras conocer esta información, el 30 de julio de 2021, la Directora de la Agencia Española de Protección de Datos resuelve estimar el recurso de reposición interpuesto por el reclamante, por considerar que la parte reclamada no ha justificado adecuadamente la necesidad ni la proporcionalidad de la medida adoptada a efectos de remitir las comunicaciones de carácter laboral a los trabajadores ni ha justificado la necesidad de disponer de más de un dato de contacto. CUARTO: La entidad reclamada, ha presentado alegaciones, negando la necesaria congruencia entre los hechos y fundamentos en los que se basa la resolución que revoca el archivo de la actividad inspectora, pero sin justificar la necesidad de comunicarse con sus trabajadores a través de su teléfono personal, así como la causa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 de no utilizar la opción de envío con copia oculta a todos los destinatarios del correo electrónico. QUINTO: La entidad reclamada presenta nuevas alegaciones a la propuesta de resolución incidiendo en la nulidad del recurso de reposición objeto de inicio de este procedimiento sancionador, por no habérsele notificado causándole indefensión. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II Se ha procedido a la apertura del presente procedimiento sancionador al considerar que la entidad reclamada ha tratado datos personales del reclamante, en concreto su número de teléfono móvil y su correo electrónico, ambos de uso personal, sin justificar la necesidad ni la proporcionalidad de la causa por la que se remitieron comunicaciones de carácter laboral por parte de la entidad reclamada a sus trabajadores, utilizando para ello medios de comunicación como la aplicación de WhatsApp y el correo electrónico, sin adoptar las medidas de seguridad exigidas por la normativa en materia de protección de datos de carácter personal, que garantizasen la confidencialidad de los mismos. III A lo largo del procedimiento la entidad reclamada ha alegado la indefensión sufrida en el recurso de reposición (RR/00267/2021) interpuesto por el reclamante ante esta Agencia denunciando los hechos objeto del presente procedimiento, que dieron lugar a su estimación y correspondiente apertura de este procedimiento sancionador. La entidad reclamada, alega que no se le comunicó la interposición de dicho recurso potestativo de reposición interpuesto por el reclamante ante la Agencia, y que por tanto no pudo defenderse. Dichas alegaciones se han reiterado a lo largo del procedimiento y también en respuesta a la propuesta de resolución de este procedimiento sancionador, alegando además su interposición de demanda ante lo contencioso administrativo. Así las cosas, de conformidad con el artículo 118 de la ley 39/2015 de 1 de octubre, de procedimiento administrativo común de las Administraciones Públicas, que regula el derecho de audiencia de los interesados, esta Agencia decide archivar el presente procedimiento sancionador y retrotraer sus actuaciones al momento en que se omitió el trámite de audiencia en el recurso potestativo de reposición (RR/00267/2021). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: ORDENAR LA RETROACCIÓN de las actuaciones al momento en que debió dársele trámite de audiencia en el recurso de reposición RR/00267/2021 TERCERO: NOTIFICAR la presente resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es