1/21 Expediente N.º: EXP202213543 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 21 de noviembre de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra INTERURBANA DE AUTOBUSES, S.A. con NIF A28170207 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: el reclamante manifiesta que la empresa reclamada ha facilitado, sin su consentimiento, sus datos personales a los sindicatos en formato papel y, posteriormente, han sido publicados en los tablones de anuncios los datos personales de todos los trabajadores de la empresa; asimismo, señala que pueden acceder al tablón de anuncios todos los trabajadores, otras empresas y también es visible desde una ventana externa a la zona de andenes (andén 32 y 33), pudiendo captarse los datos personales con la cámara de un teléfono móvil desde una distancia de 1,5 metros; considera que su dirección postal es un dato innecesario para la celebración de elecciones sindicales, pudiendo ser localizada su residencia a través de Google. Aporta: - Copia de una hoja impresa, firmada el 19/11/2022, donde se visualizan los datos publicados: nombre, apellidos, matrícula, puesto, fecha de alta, fecha de antigüedad, fecha de nacimiento, sexo y dirección postal. - Video de la publicación de la mencionada hoja con los datos personales donde se visualiza el tablón de anuncios. - Fotografías de la hoja impresa y su ubicación en el tablón de anuncios. - Captura de pantalla del resultado de la búsqueda efectuada en Google de su domicilio. - Calendario electoral de las elecciones sindicales y el acta de constitución de la mesa electoral. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 21/12/2023 se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 29/12/2022 como consta en el acuse de recibo que obra en el expediente. TERCERO: Con fecha 21/02/2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/21 CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con fecha 09/03/2023 se remite requerimiento de información y de la respuesta recibida se desprende: La entidad manifiesta que debido a un error de Recursos Humanos no se imprimió un censo electoral sino un censo completo de trabajadores. Hay en el sistema un listado denominado “CENSO ELECTORAL” que era el que se debía haber extraído. En censo publicado constaban los datos que deben ser incluidos para empresas de más de 50 trabajadores más el domicilio postal. No han tenido conocimiento del error en el censo hasta el requerimiento de la Agencia ya que ningún trabajador lo ha comunicado. En relación con la ubicación manifiestan que el centro de trabajo es una taquilla de venta al público a la que los empleados de la compañía acceden por un pasillo posterior no accesible al público. Este pasillo se encuentra cerrado bajo llave. Aunque desde el pasillo se puede acceder a varias taquillas, solo se encuentra ocupada la taquilla correspondiente a la compañía. El listado del censo fue colocado por el Delegado en el tablón del pasillo y únicamente el personal de la empresa y el vigilante pueden acceder. Las llaves solo las tiene el Delegado, la taquillera y seguridad. Han aportado fotografías de dos tablones de anuncios de la compañía. Una de las cuales (la más pequeña) se encuentra ubicada dentro de la taquilla de ventas y otra, en donde se publicó el censo, se ubica en el mencionado pasillo de acceso, A este respecto, la fotografía aportada por el reclamante de la ubicación del tablón donde se ha publicado el censo coincide con la aportada por la compañía. El censo estuvo publicado exclusivamente durante el periodo de las elecciones. La taquillera les ha confirmado que efectivamente el censo estuvo publicado en el tablón del pasillo y les ha informado que el reclamante (…) hizo fotos al tablón. Mediante un mail de fecha 12 de abril han recordado a Recursos Humanos la importancia de obtener el censo con los datos estrictamente legales. QUINTO: Con fecha 26/12/2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado por la presunta infracción del artículo 5.1.c), tipificada en el artículo 83.5.
- a)del RGPD. SEXTO: En fecha 03/01/2024 fue notificado el acuerdo de inicio, solicitando la parte reclamada el 10/01/2024 ampliación del plazo, así como copia del expediente, plazo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/21 que le fue concedido y copia remitida mediante escrito del instructor de fecha 11/01/2024. El 19/01/2024 la parte reclamada presentó escrito de alegaciones, manifestando, en síntesis: contextualización de los hechos: que el censo publicado sólo contuvo los datos incompletos del domicilio de dos de los nueve trabajadores, que la información contenida en el censo no era inmediatamente accesible desde el andén y que el hecho típico por la empleada responsable de realizar la operación de tratamiento cayó fuera del ámbito de control y diligencia debida exigible a la parte reclamada; la ausencia del principio de culpabilidad; vulneración del principio de proporcionalidad; la aplicaciones de circunstancias atenuantes no tenidas en cuenta; el archivo del expediente y subsidiariamente minoración de la sanción. SEPTIMO: Con fecha 21/03/2024, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, acordándose las siguientes: - Dar por reproducidos a efectos probatorios las reclamaciones interpuestas por los reclamantes y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente. - Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por el reclamado y la documentación que acompaña. OCTAVO: Con fecha 28/08/2024 fue emitida Propuesta de Resolución en el sentido de que se sancionara a la parte reclamada con una sanción de 70.000 € (setenta mil euros) por infracción del artículo 5.1.
- c)del RGPD, infracción tipificada en el artículo 83.5.
- d)del RGPD. En fecha 10/09/2024 la parte reclamada presentó escrito de alegaciones formulando, en síntesis: que no han sido tenidos en consideración lo aportado por la parte reclamada; que tanto las alegaciones como la documentación aportada desvirtúan el contenido de la Propuesta; el archivo del presente expediente, subsidiariamente, la formulación de un apercibimiento, o la aplicación de la sanción inferior en grado. NOVENO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes, HECHOS PROBADOS PRIMERO. El 20/06/2022 tiene entrada en la AEPD escrito de la parte reclamante en el que manifiesta que la parte reclamada ha facilitado, sin su autorización ni consentimiento, sus datos personales a los sindicatos en formato papel, siendo posteriormente publicados en los tablones de anuncios de la empresa; señala que pueden acceder al tablón de anuncios no solo los trabajadores, al ser visible desde una ventanilla externa de la zona de andenes de la estación de autobuses, pudiendo verse los datos personales con la cámara de un teléfono móvil a una distancia de 1,5 metros; considera que la dirección postal es un dato innecesario para la celebración de elecciones sindicales. SEGUNDO. Consta aportado el Acta de Constitución de Mesa Electoral y calendario electoral de elecciones sindicales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/21 TERCERO. Copia impresa de hoja firmada el 19/11/2022, Estación de Autobuses de ***LOCALIDAD.1, en la que figuran los datos de carácter personal de 9 trabajadores; visualizándose los siguientes datos de carácter personal del reclamante: nombre, apellidos, matrícula, puesto, fecha de alta, fecha de antigüedad, fecha de nacimiento, sexo y dirección. CUARTO. Constan aportadas grabaciones en video realizadas tanto desde el pasillo como desde el ventanillo del andén de la estación de autobuses desde donde se visualiza el Tablón de Anuncios, conteniendo la información expresada en el hecho anterior. QUINTO. La parte reclamada en escrito de fecha de 12/04/2023 en respuesta al requerimiento efectuado por la inspectora actuante ha manifestado lo siguiente: “(…) Desgraciadamente, la persona de Recursos Humanos que debía de sacar el censo para las elecciones sindicales no imprimió un censo de elecciones sino un censo completo de trabajadores… Ese censo nunca debería haber llevado toda esa información. 2.- El centro de trabajo de ***LOCALIDAD.1 es una taquilla de venta al público en una estación de autobuses y el pasillo de acceso a esa taquilla que está cerrado bajo llave y donde se dejan objetos perdidos como maletas o similares. El censo lo colocó el Delegado de ***LOCALIDAD.1 en el tablón que está en el pasillo de acceso a las taquillas, (la única taquilla ocupada en ese pasillo es la nuestra), por lo que el acceso al censo solo lo puede tener personal de nuestra empresa o el vigilante de seguridad de la estación de autobuses que podría entrar por alguna emergencia o a dejar algún objeto perdido si la taquillera no estuviera. No es de acceso público y las únicas personas que tienen la llave del pasillo son el Delegado, la taquillera y Seguridad. Ni si quiera los conductores tienen llave y tienen que pedir a taquilla que les abra la puerta de acceso al pasillo donde está el tablón. Adjuntamos fotos de los dos tablones que tenemos. Uno pequeño, dentro de la propia taquilla, que se vería por los viajeros (muy de lejos). Y otro en el pasillo de acceso a la taquilla, exclusivo para nuestros trabajadores, y como se aprecia, solo consta información de la empresa, que es más grande y es donde se colocó el censo. La taquillera a preguntas nos informa que confirma que estuvo allí el censo y que un día vió al antiguo representante de los trabajadores, que había sido cesado por sus compañeros y por ese motivo se convocaron nuevas elecciones, haciendo fotos al tablón, pero que no lo trasladó porque no le dio importancia.”. 3.- No se han puesto medidas respecto a la colocación del censo puesto que solo pueden acceder empleados de la empresa y no terceros y entendemos que es un lugar adecuado para la colocación del censo. (…) Se ha comunicado a todos los integrantes de RRHH la importancia de sacar los censos con los datos estrictamente legales para un censo para unas elecciones sindicales y ningún otro dato personal más haciendo uso del informe del programa que está creado para sacar esos datos exclusivamente. Mediante mail el 12 de abril. (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/21 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Alegaciones al Acuerdo de inicio 1. En primer lugar, alega la parte reclamada su disconformidad con los hechos reclamados y el planteamiento que se realiza de los mismos ya que el censo publicado sólo contuvo los datos incompletos del domicilio de dos de los nueve trabajadores adscritos al centro y que la información contenida en el censo no era de acceso inmediato desde el andén. - El R.D. 1844/1994, de 9 de septiembre, por el que se aprueba el Reglamento de elecciones a órganos de representación de los trabajadores en la empresa, establece en su artículo 6, Censo laboral, apartados 1 y 3: “1. El censo laboral se ajustará al modelo número 2 del anexo a este Reglamento. (…) 3. Cuando se trate de empresas o centros de trabajo con 50 o más trabajadores, en el censo laboral se hará constar el nombre, dos apellidos, sexo, fecha de nacimiento, documento nacional de identidad, categoría o grupo profesional y antigüedad en la empresa de todos los trabajadores, distribuyéndose en un colegio de técnicos y administrativos y otro de especialistas y no cualificados, y un tercer colegio, si así se hubiese pactado en Convenio Colectivo, de acuerdo con lo previsto en el artículo 71.1 del Estatuto de los Trabajadores. (…)” La parte reclamada ha reconocido el error cometido por el departamento de Recursos Humanos al imprimir el censo completo de los trabajadores en lugar del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/21 censo electoral tal como tal figura en el sistema informático. En el censo publicado constan los datos del censo más el domicilio postal Hay que señalar que la reclamación que da lugar a la apertura del presente procedimiento parte del escrito de un particular que cuestiona la exhibición de sus datos de carácter personal en el censo electoral (el relativo al domicilio), sin su consentimiento ni autorización, en el tablón de anuncios de la empresa, “(aunque presenten con posterioridad la de otros trabajadores, no la mía, no he autorizado)” y, además, que es fácilmente localizable su residencia en Google, simplemente poniendo los datos aportados en el censo; cuestión esta que ha quedado acreditada por la inspectora actuante mediante Diligencia que consta en el expediente. Es cierto, que solamente figuran dos de los nueve trabajadores incluidos en el censo conteniendo el dato del domicilio; pero también lo es que bastaría con el tratamiento de uno solo de los domicilios de los trabajadores para que se infringiera la normativa en materia de protección de datos de carácter personal, principio de minimización de datos, al incluirse en el censo datos innecesarios. - En cuanto a que la información contenida en el censo no era de acceso inmediato desde el andén, la parte reclamante ha aportado grabación en formato video desde el ventanillo que se encuentra en el andén desde donde se visualiza el tablón de anuncios, acreditándose que tanto con la cámara del móvil como a simple vista, dado que el tablón no se encuentra a una distancia excesiva (1,5 m), se puede leer lo expuesto en este Tablón de Anuncios así como fotografiar la hoja impresa siendo accesibles los datos expuestos. Además, aunque se han aportado fotografías de dos tablones de anuncios, el censo fue colocado por el Delegado en el tablón existente en un pasillo que no era accesible al público, aunque si lo era para todos los trabajadores de la parte reclamada, de otras empresas como por el personal de seguridad, por lo que para estos empleados existía la posibilidad de acceso a los citados datos. Y a mayor abundamiento, la hoja conteniendo datos del domicilio también fue accesible a los sindicatos convocantes, pues no hay que olvidar que el empresario debe proporcionar los medios precisos para el normal desarrollo de todo el proceso electoral, siendo entre otras obligaciones de la empresa: Dar traslado de la comunicación oficial de convocatoria de elecciones a los trabajadores que deban integrar la mesa y a los representantes de los trabajadores, a la vez que ponerlo en conocimiento de los promotores. Proporcionar a la mesa el censo laboral de trabajadores (en modelo oficial correspondiente), con indicación de los trabajadores que reúnan los requisitos de edad y antigüedad exigibles para ser electores y elegibles. Proporcionar el local adecuado y los medios materiales para que la mesa electoral pueda desempeñar sus funciones y a sus miembros el tiempo necesario para el perfecto desarrollo de todo el proceso electoral. Facilitar el uso de tablones de anuncios y de locales para reuniones informativas y de propaganda. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/21 Por último, en el escrito de 13/04/2023 la parte reclamada manifiesta que “Ese censo nunca debería haber llevado toda esa información”. 2. Alega la parte reclamada ausencia de culpabilidad en el tratamiento llevado a cabo. Sin embargo, dicho argumento debe ser rechazado; habiéndose acreditado la conducta típica, el acceso a los datos personales de al menos dos de los trabajadores, entre ellos los del reclamante, y su exposición en el tablón de anuncios de la mercantil, incluyendo datos que se consideran innecesarios no de conformidad con lo establecido en el artículo 5.1.
- c)del RGPD, la cuestión se centra en determinar si de tal conducta puede nacer responsabilidad administrativa sancionadora. La reclamada solicita que se acuerde el archivo del procedimiento por ausencia de culpabilidad al faltar los requisitos esenciales para imponer una sanción administrativa. En el ámbito del Derecho Administrativo sancionador rige el principio de culpabilidad, de forma que el elemento subjetivo o culpabilístico es una condición indispensable para que nazca la responsabilidad sancionadora. El artículo 28 de la Ley 40/2015, de Régimen Jurídico del Sector Público (LRJSP) regula el principio de culpabilidad y dispone: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” De conformidad con este precepto, la responsabilidad sancionadora puede exigirse a título de dolo o de culpa, siendo suficiente en el último caso la mera inobservancia del deber de cuidado. El Tribunal Constitucional, entre otras, en su STC 76/1999, ha declarado que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su existencia para imponerlas. A propósito de la culpabilidad de la persona jurídica cabe citar la STC 246/1991, 19 de diciembre de 1991 (F.J. 2), conforme a la cual, respecto a las personas jurídicas, el elemento subjetivo de la culpa se ha de aplicar necesariamente de forma distinta a como se hace respecto de las personas físicas y añade que “Esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz [...]” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/21 La decisión de archivar un expediente sancionador podrá fundarse en la ausencia del elemento de la culpabilidad cuando el responsable de la conducta antijurídica hubiera obrado con toda la diligencia que le resulta exigible. Conviene recordar lo que la STC 246/1991 ha dicho a propósito de la culpabilidad de la persona jurídica: que no falta en ella la “capacidad de infringir las normas a las que están sometidos”. “Capacidad de infracción [...] que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz [...]”. En conexión con lo expuesto hay que referirse al artículo 5.2 del RGPD (principio de responsabilidad proactiva), según el cual el responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrar su cumplimiento. El principio de proactividad transfiere al responsable del tratamiento la obligación no solo de cumplir con la normativa en materia de protección de datos, sino también la de poder demostrar dicho cumplimiento. El Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173emitido durante la vigencia de la derogada Directiva 95/46/CEE, pero cuyas reflexiones son aplicables en la actualidad, afirma que la “esencia” de la responsabilidad proactiva es la obligación del responsable del tratamiento de aplicar medidas que, en circunstancias normales, garanticen que en el contexto de las operaciones de tratamiento se cumplen las normas en materia de protección de datos y en tener disponibles documentos que demuestren a los interesados y a las Autoridades de control qué medidas se han adoptado para alcanzar el cumplimiento de las normas en materia de protección de datos. Y sobre esta cuestión no hay que olvidar el artículo 24.1 del RGPD que sobre la responsabilidad del responsable del tratamiento dispone: “Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario." Cabría señalar cual fue la diligencia observada por la parte reclamada en relación con la conducta que debía haber observado en relación con la conducta examinada. La respuesta es que la diligencia que debió observar era la precisa para cumplir las obligaciones que le imponía el artículo 5.1.
- c)del RGPD y que motivó la apertura del procedimiento. Por tanto, de conformidad con el principio de proactividad la parte reclamada no adoptó una actitud consciente y diligente al publicar en el tablón de anuncios el censo con datos que no son necesarios, ni adecuados, ni pertinentes por exceder de la finalidad perseguida, datos innecesarios que además podían ser visibles a terceros desde la dársena o andén, como desde el pasillo al que tenían acceso personal de la/s empresa/s, y evitando incidencias como las que dio lugar a la reclamación y la apertura del procedimiento, infracción del artículo 5.1.
- c)del RGPD, actitud y comportamiento que no ha existido en el presente caso, evidenciando ausencia de diligencia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/21 3. Alude la parte reclamada la vulneración del principio de proporcionalidad en la imposición de la sanción. Hay que señalar que el artículo 83.1 del RGPD previene que “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasoria”. Las multas por tanto según se deduce del precepto que antecede han de ser efectivas, proporcionadas y disuasorias para la consecución de la finalidad pretendida por el RGPD. Es cierto, que para que dicho sistema funcione con todas sus garantías es necesario que varios elementos se desplieguen de forma íntegra y completa. La aplicación de reglas ajenas al RGPD respecto de la determinación de las multas en cada uno de los Estados miembros aplicando su derecho nacional, ya sea por circunstancias agravantes o atenuantes no previstas en el RGPD -o en la LOPDGDD en el caso español al permitirlo el propio RGPD-, restaría efectividad al sistema, que perdería su sentido, su finalidad teleológica, la voluntad del legislador, resultando que las multas impuestas por distintas infracciones dejarían de ser efectivas, proporcionadas y disuasorias. Y de esta forma también se hurtaría a los interesados de la garantía efectiva de sus derechos y libertades, debilitando la aplicación uniforme del RGPD. Se disminuirían los mecanismos de protección de los derechos y las libertades de los ciudadanos y sería contrario con el espíritu del RGPD. El RGPD está dotado de su propio principio de proporcionalidad que ha de ser aplicado en sus estrictos términos. En cuanto al principio de proporcionalidad de las sanciones, la Audiencia Nacional en numerosas sentencias ha señalado que el principio de proporcionalidad no puede sustraerse al control jurisdiccional, pues el margen de apreciación que se otorga a la Administración en la imposición de sanciones dentro de los límites legalmente previstos, debe ser desarrollado ponderando en todo caso, las circunstancias concurrentes, al objeto de alcanzar la necesaria y debida proporción entre los hechos imputados y la responsabilidad exigida, dado que toda sanción debe determinarse en congruencia con la entidad de la infracción cometida y según un criterio de proporcionalidad en relación con las circunstancias del hecho. De modo que la proporcionalidad constituye un principio normativo que se impone a la Administración y que reduce el ámbito de sus potestades sancionadoras. Pues bien, de conformidad con las circunstancias que concurren en el presente caso la presente resolución no vulnera el principio de proporcionalidad en la determinación de las sanción impuesta resultando ponderada y proporcionada a la gravedad de la infracción cometida, la importancia de los hechos, así como las circunstancias tenidas en cuenta para graduar la sanción, sin que se aprecien razones que justifiquen la minoración solicitada, sobre todo teniendo en cuenta la cuantía a la que pueden ascender dichas sanciones de conformidad con el art. 83.5 del RGDP, que prevé para la infracción del artículo 6.1 del RGDP, “con multas administrativas de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/21 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. Pues bien, la parte reclamada se trata de sociedad anónima, con un volumen de ventas de 48.732.000 euros en el ejercicio de 2.022, según Axexor. 4. Sostiene e insiste la parte reclamada que en el presente caso concurren una serie de elementos atenuantes de la culpabilidad que deberían ser tomados en consideración a efectos de la graduación de la sanción. De esta forma, se refiere a la ausencia de reincidencia por comisión de infracciones de la misma naturaleza; sin embargo, la citada circunstancia no puede ser admitida; la Sentencia de la AN, de 05/05/2021, señala: “Considera, por otro lado, que debe apreciarse como atenuante la no comisión de una infracción anterior. Pues bien, el artículo 83.2 del RGPD establece que debe tenerse en cuenta para la imposición de la multa administrativa, entre otras, la circunstancia "
- e)toda infracción anterior cometida por el responsable o el encargado del tratamiento". Se trata de una circunstancia agravante, el hecho de que no concurra el presupuesto para su aplicación conlleva que no pueda ser tomada en consideración, pero no implica ni permite, como pretende la actora, su aplicación como atenuante”. La categoría de los datos de carácter personal afectados ya que el domicilio no constituye una categoría de dato especial; la posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción y la ausencia de beneficios que la conducta infractora le ha generado a la parte reclamada. Cualquier empresa, con independencia de su tamaño, tiene la obligación de cumplir la normativa en materia de protección de datos de carácter personal desde el momento en que realiza tratamientos con datos personales; las empresas, pequeñas, medianas y grandes, que realicen un tratamiento de datos de clientes, proveedores, empleados, socios o cualquier otra figura para el desarrollo de sus actividades está obligada a cumplir con el RGPD y la LOPDGDD. Siendo una obligación el cumplimiento normativo de la protección de datos por la parte reclamada, no puede pretender que la ausencia de reincidencia en la comisión de infracciones de la misma naturaleza, que el hecho de que los datos tratados no tengan la condición de especialmente protegidos o que la ausencia de beneficio alguno en su actuación, puedan ser adoptados como atenuantes de la conducta infractora a efectos de minorar la sanción a imponer, aunque sí que podrían ser utilizadas como agravantes de dicha conducta, en el caso de producirse. III Alegaciones a la Propuesta de Resolución En primer lugar, alega la parte reclamada que la Propuesta de Resolución ha sido dictada sin tener en consideración la documentación aportada y que el dato presuntamente publicado del domicilio del reclamante y demás trabajadores del censo no puede considerarse tal, pues con la información incluida no se puede localizar el domicilio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/21 Sin embargo, ni lo alegado ni la documentación que dice haber aportado desmerecen lo señalado en la Propuesta notificada; hay que aclarar que lo que se imputa en el presente procedimiento es la vulneración del principio de minimización, al incluir en el censo datos que no son adecuados, ni pertinentes debiendo estar limitados a aquellos necesarios a la finalidad prevista, en este caso las elecciones sindicales. Por tanto, el que el listado pudiera ser o no visualizado desde el ventanuco que daba a la dársena o anden de la estación o en el pasillo donde figuraba el tablón de anuncios, es inocuo porque la conducta típica es la inserción de una columna relativa a los datos del domicilio de los trabajadores en el censo por resultar innecesario a la finalidad prevista. Pero, además, la limitación referida a la finalidad perseguida por el tratamiento debe realizarse de manera que se minimice, que se limite el número de personas que puedan acceder a los datos y en el presente caso tampoco ha ocurrido. Por otra parte, como ya se señalaba en la Propuesta, la inspectora actuante mediante Diligencia hacía constar que “se incorpora a las actuaciones de inspección de referencia el resultado de la búsqueda en Google del domicilio aportado por el reclamante”, es decir, acreditaba que realizando búsquedas a través de Google se obtenía un plano de la ubicación de la dirección aportada por el reclamante y que coincidía y figuraba en el listado aportado, es decir, que al contrario de lo señalado por la parte reclamada la residencia podía ser localizada a través del buscador. Alega igualmente la reclamada que todo fue debido a un error humano puntual, involuntario, fortuito y limitado en el tiempo, exponiéndose en el tablón de anuncios una hoja de un censo no destinado a ese fin, que incluía la columna de los domicilios. No obstante, el argumento no puede ser admitido; el tratamiento del dato del domicilio ha sido realizado con vulneración del principio de minimización, y no puede ampararse como pretende la parte reclamada en la existencia de un mero error de carácter involuntario y fortuito, sino que evidencia precisamente la existencia de una conducta negligente que dio lugar a la inserción en el tablón de anuncios de datos de la parte reclamante que eran inadecuados, innecesarios e impertinentes a todas luces. - En segundo lugar, alega e insiste la parte reclamada que la documentación aportada desvirtúa el contenido de la Propuesta de Resolución notificada considerando que queda acreditado la no existencia de la infracción por lo que se vulneran los principios de tipicidad, culpabilidad y proporcionalidad en la imputación de infracciones. No obstante, la citada argumentación se considera irrelevante; en el presente caso se atribuye a INTERURBANA DE AUTOBUSES en el procedimiento sancionador incoado una infracción del principio de minimización de datos previsto en el artículo 5.1.
- c)del RGPD que dispone: “Los datos personales serán: (…)
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/21 (…)” Los principios que presiden el tratamiento, establecidos en el artículo 5 del RGPD, son de obligado cumplimiento para el responsable de un tratamiento. Es más, el artículo 5.2. del RGPD introduce el principio de responsabilidad proactiva en virtud del cual el responsable del tratamiento queda obligado a cumplir los principios descritos en el artículo 5.1, por lo que ahora nos ocupa el de minimización de los datos, y a estar en condiciones de demostrar su cumplimiento, lo que conlleva trasladar al responsable la carga de la prueba del cumplimiento de esa obligación. Como ha manifestado el Gabinete Jurídico de la AEPD el RGPD ha supuesto un cambio de paradigma al abordar la regulación del derecho a la protección de datos personales, que pasa a fundamentarse en el principio de “responsabilidad proactiva” (“accountability”) La exposición de motivos de la LOPDGDD dice que “la mayor novedad que presenta el Reglamento (UE) 2016/679 es la evolución de un modelo basado, fundamentalmente, en el control del cumplimiento otro que descansa en el principio de responsabilidad activa”. En relación con el principio de minimización de datos el Considerando 39 del RGPD dice que “Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios.” El principio de cuya vulneración se responsabiliza a la parte reclamada está conectado con la “necesidad” de tratar un determinado dato. El término “necesidad” tiene en el Derecho de la Unión un significado propio e independiente. El Tribunal de Justicia de la Unión Europea considera que es un “concepto autónomo del Derecho Comunitario” (STJUE de 16/12/2008, asunto C-524/2006, apartado 52) y el Tribunal Europeo de Derechos Humanos afirma que el <<adjetivo necesario no es sinónimo de “indispensable” ni tiene la flexibilidad de las expresiones “admisible, “ordinario”, “útil”, “razonable” o “deseable”>> (apartado 97 de la STEDH 25/03/1983) Cabe traer a colación las consideraciones acerca del principio de minimización de datos realizadas por el Comité Europeo de Protección de Datos (CEPD) en las Directrices 4/2019, “relativas al artículo 25, Protección de datos desde el diseño y por defecto”, versión 2.0, de fecha 20/10/2020, adoptadas en cumplimiento de la función que el artículo 70 del RGPD le encomienda de garantizar su aplicación coherente. En epígrafe 74 de dichas directrices se establece que: “En primer lugar, los responsables del tratamiento deben determinar si tienen siquiera necesidad de tratar datos personales para sus fines pertinentes. El responsable debe verificar si se pueden alcanzar los fines pertinentes tratando menos datos personales, o utilizando datos personales menos detallados o agregados, o sin tener que tratar datos personales en modo alguno. Dicha verificación debe tener lugar antes de cualquier tratamiento, pero también puede llevarse a cabo en cualquier momento durante el ciclo de tratamiento.” (Epígrafe 74). Y en su epígrafe 76 las Directrices 4/2019 indican que pueden ser “Elementos esenciales desde el diseño y por defecto con respecto a la minimización de datos” entre otros, los siguientes: “• Evitación de datos: Se evitará todo tratamiento de datos personales cuando ello sea posible para cumplir la finalidad pertinente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/21 • Limitación: Se limitará la cantidad de datos personales recogidos a lo estrictamente necesario para el fin previsto. • Limitación de acceso: Se configurará el tratamiento de datos de manera que se minimice el número de personas que necesiten acceder a datos personales para desempeñar sus funciones, y se limitará el acceso en consecuencia. • Pertinencia: Los datos personales deben ser pertinentes para el tratamiento en cuestión, y el responsable del tratamiento deberá poder acreditar dicha pertinencia. • Necesidad: Cada categoría de datos personales será necesaria para los fines especificados y solo deberá ser objeto de tratamiento si no es posible cumplir la finalidad por otros medios.” Pues bien, en el caso presente la parte reclamada público en el tablón de anuncios el censo electoral conteniendo el domicilio, dato este que no era necesario ni adecuado, ni pertinente pues solo deben tratarse de acuerdo a la finalidad perseguida, con independencia de que el mismo sea o no accesible a terceros. Por lo que se refiere a la ausencia de culpabilidad, hay que señalar que cualquier sanción administrativa está sometida al principio de culpabilidad ya sea por dolo o imprudencia y, a través del procedimiento legalmente establecido, la ausencia de culpabilidad determinara la inexistencia de la infracción. Es decir, la conducta típica no sería sancionable sin la concurrencia de dolo o culpa. Ahora bien, en el presente caso, no existe ausencia de culpabilidad, sino que estamos ante una conducta infractora, típica, que permite afirmar la concurrencia de culpabilidad. El TS en Sentencia de 23/01/ 1998 señala, "... aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte se la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la usencia de culpa". Por otra parte, la propia parte reclamada ha reconocido los hechos al señalar en relación con el dato del domicilio: “(…) Desgraciadamente, la persona de Recursos Humanos que debía de sacar el censo para las elecciones sindicales no imprimió un censo de elecciones sino un censo completo de trabajadores… Ese censo nunca debería haber llevado toda esa información. (…)” - Por último, insiste la parte reclamada que se incurre en la vulneración del principio de proporcionalidad, reiterando lo ya manifestado en alegaciones anteriores y aduciendo que el citado principio exige que se deban de atender todas las circunstancias atenuantes que concurren en el presente caso a la hora de establecer la sanción por lo que debería ser minorada. De esta forma, se refiere a la ausencia de reincidencia por comisión de infracciones de la misma naturaleza; sin embargo, la citada circunstancia no puede ser C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/21 admitida; la Sentencia de la AN, de 05/05/2021, señala: “Considera, por otro lado, que debe apreciarse como atenuante la no comisión de una infracción anterior. Pues bien, el artículo 83.2 del RGPD establece que debe tenerse en cuenta para la imposición de la multa administrativa, entre otras, la circunstancia "
- e)toda infracción anterior cometida por el responsable o el encargado del tratamiento". Se trata de una circunstancia agravante, el hecho de que no concurra el presupuesto para su aplicación conlleva que no pueda ser tomada en consideración, pero no implica ni permite, como pretende la actora, su aplicación como atenuante”. Alega igualmente, la categoría de los datos de carácter personal afectados ya que el domicilio no constituye una categoría de dato especial; la ausencia de conducta culposa o negligente; la posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción; cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso como es la ausencia de beneficios que la conducta infractora le ha generado a la parte reclamada. Hay que señalar que todas las circunstancias alegadas por la parte reclamada como atenuantes no son aplicables pues son consustanciales a los hechos acaecidos; así, por ejemplo la colaboración con la AEPD se produce más de tres meses después de la infracción en respuesta a una solicitud de información por la propia Agencia y resultaba intrascendente para poner remedio a la infracción o mitigar sus posibles efectos adversos, como exige el art. 83.2
- f)RGPD; en cuanto a la ausencia de conducta culposa o negligente, ya se ha señalado y ha quedado acreditada la conducta negligente de la parte reclamada en el tratamiento de datos llevado a cabo, que constituye el elemento culposo de la infracción, de modo que tampoco pueden atenuar la infracción. Por lo que se refiere a que el dato del domicilio no constituye una categoría de dato especial, igualmente resulta irrelevante pues de todos es sabido que los datos contenidos en el censo no tienen la consideración de datos de categoría especial o sometidos a una especial protección; por otra parte, hay que señalar que la infracción cometida no exige que se produzca un beneficio económico o de cualquier tipo a favor del infractor por lo que tampoco podemos aplicar tal circunstancia como atenuante de la culpabilidad (artículo 83.2.
- k)del RGPD); y en lo que respecta a la posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción, la parte reclamante en el ejercicio de su derecho se dirigió a la autoridad que tiene la competencia en materia de protección de datos de carácter personal al considerar vulnerados sus datos. Por tanto, habría que señalar que el principio de proporcionalidad se ha respetado, pues la sanción impuesta es proporcional a la gravedad de la conducta y a la grave falta de diligencia. V Obligación incumplida El artículo 5, Principios relativos al tratamiento, del RGPD establece que: “1. Los datos personales serán: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/21 (…)
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»); (…)” La documentación obrante en el expediente nos lleva a considerar que el reclamado vulneró el artículo 5.1.
- c)del RGPD, al incluir en el censo más datos de los establecidos en la normativa lo que ha posibilitado el acceso de terceros a los datos de la parte reclamante y de otros trabajadores de la parte reclamada como consecuencia de la publicación e inserción en el tablón de anuncios del censo de los trabajadores de la empresa en el que se incluye el dato del domicilio, vulnerándose el principio de minimización de datos previstos en el citado artículo. El artículo 5 del RGPD se refiere a los principios generales para el tratamiento de datos. En su apartado
- c)se hace referencia al principio de minimización de datos, indicando que los datos han de ser “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados”. Si examinamos la definición podemos deducir que solo se pueden recabar los datos personales que se vayan a tratar, es decir, los que sean estrictamente necesarios para el tratamiento; que solo podrán ser recogidos cuando vayan a ser tratados y que solo podrán ser utilizados para la finalidad con la que fue recogida, pero no con ningún otro objetivo. Hay que señalar que los censos para las elecciones sindicales se encuentran regulados en el Real Decreto 1844/1994, de 9 de septiembre, por el que se aprueba el Reglamento de elecciones a órganos de representación de los trabajadores en la empresa, que ha modificado determinados artículos de la Ley 8/1980, de 10 de marzo, Estatuto de los Trabajadores; su artículo 6, censo laboral, establece en su apartado 3 los datos que deben formar parte del censo de electores: “3. Cuando se trate de empresas o centros de trabajo con 50 o más trabajadores, en el censo laboral se hará constar el nombre, dos apellidos, sexo, fecha de nacimiento, documento nacional de identidad, categoría o grupo profesional y antigüedad en la empresa de todos los trabajadores, distribuyéndose en un colegio de técnicos y administrativos y otro de especialistas y no cualificados, y un tercer colegio, si así se hubiese pactado en Convenio Colectivo, de acuerdo con lo previsto en el artículo 71.1 del Estatuto de los Trabajadores”. No obstante, en escrito respondiendo al requerimiento informativo de la AEPD, de fecha 13/04/2023, confirmaba el error cometido, señalando que: “(…) Desgraciadamente, la persona de Recursos Humanos que debía de sacar el censo para las elecciones sindicales no imprimió un censo de elecciones sino un censo completo de trabajadores… Ese censo nunca debería haber llevado toda esa información. (…) La taquillera a preguntas nos informa que confirma que estuvo allí el censo y que un día vió al antiguo representante de los trabajadores, que había sido cesado por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/21 sus compañeros y por ese motivo se convocaron nuevas elecciones, haciendo fotos al tablón, pero que no lo trasladó porque no le dio importancia. (…) Lamentamos el error humano ocurrido y se ha comunicado su importancia a los trabajadores de RRHH para que no vuelva a ocurrir”. Se ha verificado que las fotografías aportadas por la parte reclamante de la ubicación del tablón donde se ha publicado el censo coinciden con las aportadas por la parte reclamada. También, mediante Diligencia de la inspectora actuante se ha comprobado que realizando búsquedas en Google se obtiene un plano de la ubicación de la dirección que consta en el listado aportado por la parte reclamante y se visualiza una entrada. El Considerando 39 del RGPD también señala que: “…Los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para los fines para los que sean tratados”. Como se señalaba anteriormente, hay que distinguir entre el censo laboral y el electoral; este último está relacionado con las elecciones sindicales y vienen regulados en el Real Decreto 1844/1994, de 9 de septiembre, por el que se aprueba el Reglamento de elecciones a órganos de representación de los trabajadores en la empresa, que ha modificado determinados artículos de la Ley 8/1980, de 10 de marzo, Estatuto de los Trabajadores; VI Tipificación de la infracción del artículo 5.1.
- c)del RGPD La infracción que se le atribuye a la reclamada se encuentra tipificada en el artículo 83.5
- a)del RGPD, que considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. La LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. Y en su artículo 72, considera a efectos de prescripción, que son: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/21
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” VII Sanción por infracción del artículo 5.1.
- c)del RGPD A fin de establecer la multa administrativa que procede imponer han de observarse las previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
- a)a
- h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
- a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
- b)la intencionalidad o negligencia en la infracción;
- c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
- d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
- e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
- f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
- g)las categorías de los datos de carácter personal afectados por la infracción;
- h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
- i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
- j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/21
- k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. En relación con la letra
- k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, establece que: “2. De acuerdo a lo previsto en el artículo 83.2.
- k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
- a)El carácter continuado de la infracción.
- b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
- c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
- e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
- f)La afectación a los derechos de los menores.
- g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
- h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” - De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción de multa a imponer en el presente caso por la infracción del artículo 5.1.
- c)del RGPD, tipificada en el artículo 83.5.
- a)del RGPD de la que se responsabiliza al reclamado, se estiman concurrentes los siguientes factores: La naturaleza y gravedad de la infracción pues no hay que olvidar que estamos ante la vulneración del principio de minimización de datos cuyo reproche se hace en el RGPD con la mayor gravedad, considerándose que las entidades por su actividad realicen tratamientos de datos personales deben adecuarse a los requisitos contenidos en la norma (artículo 83.2.
- a)del RGPD). La intencionalidad o negligencia en la infracción; se observa una grave falta de diligencia en la actuación de la entidad al dar traslado de datos que se consideran innecesarios sin proceder a su minimización. Conectado también con el grado de diligencia que el responsable del tratamiento está obligado a desplegar en el cumplimiento de las obligaciones que le impone la normativa de protección de datos puede citarse la SAN de 17/10/2007, que después de aludir a que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia, precisaba que “(...). el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/21 manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto” (artículo 83.2.
- b)del RGPD). La actividad de la entidad presuntamente infractora está vinculada con el tratamiento de datos tanto de clientes como de terceros. El reclamado, dada la naturaleza de su actividad le resulta imprescindible el tratamiento de datos de carácter personal de clientes como de terceros por lo que la transcendencia de su conducta objeto del presente procedimiento es innegable (artículo 76.2.
- b)de la LOPDGDD en relación con el artículo 83.2.k). Con arreglo a las citadas circunstancias se considera adecuado establecer una sanción de 70.000 euros. VII Adopción de medidas Los poderes correctivos que el RGPD atribuye a la AEPD como autoridad de control se relacionan en su artículo 58.2, apartados
- a)a j). Al haberse confirmado la infracción, procede acordar imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Por tanto, se ordena a la parte reclamada que, en el plazo de seis meses a partir de la firmeza de la resolución sancionadora, adecúe los tratamientos objeto del presente procedimiento a la normativa aplicable. En el texto de este acuerdo se establecen cuáles han sido los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en el presente caso se señala como medida a adoptar: la implementación o implantación de medidas que garantice el cumplimiento de lo señalado en el artículo 5.1.
- c)del RGPD, el principio de minimización de datos, que impidan su vulneración. Se advierte que no atender la orden impuesta por este organismo podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/21 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a INTERURBANA DE AUTOBUSES, S.A., con NIF A28170207, por una infracción del artículo 5.1.
- c)del RGPD, tipificada en el artículo 83.5.
- a)del RGPD, una sanción de 70.000 € (setenta mil euros). SEGUNDO: ORDENAR a INTERURBANA DE AUTOBUSES, S.A., con NIF A28170207, que en virtud del artículo 58.2.
- d)del RGPD, en el plazo de seis meses desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de medidas que garantice el cumplimiento de lo señalado en el artículo 5.1.
- c)del RGPD e impidan su vulneración. TERCERO: NOTIFICAR la presente resolución a INTERURBANA DE AUTOBUSES, S.A. CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/21 la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es