PS-00463-2023

1/16  Expediente N.º: EXP202311138 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 16 de enero de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a CENTRAL SINDICAL INDEPENDIENTE Y DE FUNCIONARIOS CSI- CSIF (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202311138 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A., B.B.B., C.C.C., D.D.D., E.E.E. y F.F.F. (en adelante, las partes reclamantes) con fecha 4 de julio de 2023 interpusieron reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra CENTRAL SINDICAL INDEPENDIENTE Y DE FUNCIONARIOS CSI- CSIF con NIF G79514378 (en adelante, la parte reclamada). En dichos escritos, las partes reclamantes manifestaban que, en fecha 12 de mayo de 2023, representantes de la parte reclamada remitieron un correo electrónico con destino a todo el personal del Área Sanitaria de Ferrol del Servicio Gallego de Salud (SERGAS). Afirma que en dicho correo se adjuntaba el acta global de escrutinio para las Juntas de Personal en las elecciones sindicales celebradas en mayo de 2023, donde se muestran los datos identificativos (nombre, apellidos y DNI) de quienes actuaron como interventores de mesa, así como de los representantes elegidos, entre los cuales se encuentran las partes reclamantes, sin consentimiento previo de estas. A efectos acreditativos, aportan junto a sus reclamaciones copia del correo electrónico remitido y de la documentación adjunta al mismo, consistente en acta global de escrutinio. En dicha acta se comprueba la existencia de determinados datos personales sin anonimizar: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 - Nombre, apellidos, DNI y sexo de los representantes elegidos, así como el sindicato, coalición o grupo al que pertenecen. Nombre apellidos, DNI de las personas que formaron parte de la mesa electoral coordinadora, así como el cargo en dicha mesa (interventor/a, presidente/a o secretario/

1. a)SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 11/08/2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 07/09/2023 se recibe en esta Agencia escrito de respuesta por la parte reclamada. La información recibida se centraba principalmente en las medidas y protocolos implementados en respuesta a la solicitud de la presente autoridad. Dicho escrito se inicia con recomendaciones del Delegado de Protección de Datos de la parte reclamada, aconsejando el uso de herramientas y correos electrónicos corporativos con el fin de asegurar la seguridad de los datos en comunicaciones electrónicas, especialmente en el contexto de procesos electorales sindicales. Se resalta la importancia del cifrado de la información para mantener su confidencialidad e integridad, así como la utilización de la opción de copia oculta en correos electrónicos con el fin de proteger las direcciones de correo de los destinatarios. Además, se advierte sobre la necesidad de evitar la cesión de datos personales a terceros sin justificación legal. En cuanto a las herramientas para el envío masivo de correo, la parte reclamada afirma disponer de una aplicación de gestión de afiliados y una plataforma específica para estos envíos. Estas herramientas incluyen diversas medidas, entre las cuales se encuentra la inclusión de un enlace en los correos para que los destinatarios puedan darse de baja en futuros envíos. Se presta especial atención en adjuntar los archivos a un servidor y compartir el enlace desde el mismo, evitando adjuntar directamente en los correos, facilitando de esta forma el control y la seguridad de la información que se pretende compartir. Se menciona asimismo la realización de investigaciones para determinar la extensión y la autoría de los hechos relacionados con la reclamación. En este sentido, se pone de manifiesto la necesidad de incrementar la formación y sensibilización del personal en la protección de datos personales, con especial atención en los delegados, quienes a su juicio podrían haber cometido el error de compartir información personal sin base jurídica. A tal respecto, se indica que la causa de la incidencia que originó la reclamación parece ser un trato inadecuado de los datos personales de dichos delegados, que no siguieron las directrices marcadas por la parte reclamada. En relación a dicho hecho, sugiere que la información publicada en la intranet de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 Administración relativa a un acta anterior de elecciones sindicales pudo haber inducido a error. En cuanto a las medidas adoptadas para prevenir incidentes similares, se indica que se han adoptado varias de ellas, como la sensibilización y concienciación sobre los protocolos de protección de datos o la designación de responsables en cada unión provincial con el fin de solventar consultas o cuestiones planteadas en materia de protección de datos. Finalmente, se hace referencia a las particularidades que poseen las organizaciones sindicales, especialmente en lo que respecta al rol que poseen los delegados sindicales en los centros de trabajo, donde la implementación de medidas de seguridad, afirman, puede resultar más complicada. A pesar de dichas dificultades, la parte reclamada muestra su compromiso con la supervisión y el cumplimiento de las normas de protección de datos. Como conclusión, la parte reclamada solicita que, en base a la información y documentación proporcionada, se proceda al archivo del presente caso. TERCERO: Con fecha 4 de octubre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Obligación incumplida del artículo 5.1
2. f)RGPD De acuerdo con el apartado 1.
3. f)del artículo 5 RGPD los datos deben ser “tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 De la misma forma, el Considerado 39 RGPD dispone que: “Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento.” El principio de confidencialidad, según el mencionado artículo 5.1
4. f)del RGPD, exige la protección de datos personales contra accesos, usos y divulgaciones no autorizados. Dicho principio resulta esencial para garantizar la seguridad de los datos personales, constituyendo un pilar clave en dicha materia. Por el contrario, la violación de este principio puede tener consecuencias no deseadas, reflejándose su importancia en el marco normativo de la protección de datos. En el presente supuesto, el hecho denunciado por los reclamantes consistente en el envío de un correo electrónico con el acta global de escrutinio donde se incluían nombres, apellidos, DNI y datos relativos a la sindicación, de los representantes elegidos y de las personas que formaron parte de la mesa electoral constituye una presunta violación del mencionado principio de confidencialidad. A tal respecto, resulta conveniente señalar el artículo 4 del RGPD el cual define como datos personales “a toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona.” No cabe duda de que los datos correspondientes al nombre, apellidos y DNI, tanto de los representantes elegidos como de las personas que formaron parte de la mesa, se trata de información que permite la identificación directa de dichas personas por lo que deben considerarse como datos personales en los términos indicados por dicho artículo. Especial atención merece los datos relativos a la organización sindical correspondiente a los representantes que asimismo aparecen en el acta objeto de la presente reclamación. A tal respecto, el artículo 9 del RGPD relativo a las categorías especiales de datos personales establece que “Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientación sexuales de una persona física.” De la lectura de dicho artículo se deriva por parte del RGPD una protección reforzada para ciertas categorías especiales de datos personales considerados particularmente sensibles, entre los cuales se encuentran los datos sobre la afiliación sindical de una persona. Dichos datos requieren mayores garantías, entre otros motivos, debido a su potencialidad para ser utilizados de forma discriminatoria o perjudicial por lo que, como regla general, se requiere un nivel de exigencia más alto que para el resto de los datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 En el caso que nos ocupa, la divulgación conjunta de los datos de identificación junto a los datos de afiliación sindical expone a los individuos a posibles daños que justifican esta especial protección, como la discriminación o el tratamiento injusto basado en su pertenencia a una determinada organización sindical. Teniendo en cuenta dichas circunstancias, en el supuesto de infracción de este principio la gravedad es mayor, pues implica riesgos significativos para los derechos y libertades de las personas afectadas. Por otro lado, el artículo 4 del RGPD define al «responsable del tratamiento como “aquella la persona física o jurídica, autoridad, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. En este sentido, conviene resaltar que la responsabilidad de la divulgación de los datos objeto de reclamación corresponde a la organización sindical, en su condición de responsable de tratamiento y no a los delegados sindicales que enviaron el correo donde se contenían dichos datos, pues es aquella la que ha determinado los fines y medios del tratamiento. Dicha afirmación, se sustenta en la jurisprudencia establecida por el Tribunal Constitucional (entre otras, sentencias STC 61/1989 y STC 208/1993), según la cual los delegados sindicales son considerados instancias organizativas internas del sindicato en la empresa. En virtud de dicha doctrina, los delegados sindicales no solo desempeñan funciones representativas del sindicato en la empresa, como la negociación colectiva o la resolución de conflictos colectivos, sino que también trasladan al sindicato la responsabilidad legal que se genere por su actividad. Por lo expuesto, y sin perjuicio de lo que resulte a lo largo del presente procedimiento, la exposición de datos personales de las partes reclamadas implica una presunta vulneración del principio de confidencialidad de los datos personales reconocido en el artículo 5.1
5. f)del RGPD. III Tipificación y calificación de la infracción del artículo 5.1.
6. f)del RGPD De confirmarse, la citada infracción del artículo 5.1.
7. f)del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
8. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
9. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” IV Sanción por la infracción del artículo 5.1.
10. f)del RGPD Según el artículo 83.2 del RGPD “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
11. a)a
12. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
13. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
14. b)la intencionalidad o negligencia en la infracción;
15. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
16. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
17. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
18. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
19. g)las categorías de los datos de carácter personal afectados por la infracción;
20. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
21. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
22. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
23. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 Teniendo en cuanta dichos preceptos, en el presente supuesto se considera que procede graduar la sanción a imponer en los siguientes términos: Posible agravante prevista en el apartado
24. g)del artículo 83.2 del RGPD:
25. g)las categorías de los datos de carácter personal afectados por la infracción; La inclusión del citado agravante se fundamenta jurídicamente en la naturaleza de los datos que fueron expuesto en el presente caso, entre los cuales se encontraban datos sindicales, considerados como categoría especial de datos personales en los términos establecidos por el artículo 9 del RGPD. La exposición de datos de dicha naturaleza intensifica la gravedad de la infracción, debido a la mayor vulnerabilidad y los riesgos asociados ante un posible tratamiento indebido o inadecuado. No se aprecia la concurrencia de circunstancias atenuantes. En función de las mencionadas circunstancias, de acuerdo con lo dispuesto en el artículo 83.5 del RGPD, y sin perjuicio de lo que resulte de la instrucción del presente procedimiento, se considera adecuado fijar como posible sanción una multa de cuantía de 3.000 € (TRES MIL EUROS) V Artículo 32 del RGPD El artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
26. a)la seudonimización y el cifrado de datos personales;
27. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
28. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
29. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. Resulta necesario señalar que el citado precepto no establece un listado de medidas de seguridad concretas de acuerdo con los datos objeto de tratamiento, sino que establece la obligación de que el responsable y el encargado del tratamiento apliquen medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, determinando aquellas medidas técnicas y organizativas adecuadas teniendo en cuenta la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación del nivel de seguridad se debe tener particularmente en cuenta los riesgos que presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. Por su parte, el considerando 83 del RGPD señala que “