PS-00472-2022

1/27  Expediente Nº: EXP202206541 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 26 de septiembre de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a LISMARTSA, S.L. (en adelante la parte reclamada). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 10 de mayo de 2023 se emitió la propuesta de resolución que a continuación se transcribe: << Expediente N.º: EXP202206541 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 11 de mayo de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra LISMARTSA, S.L. con NIF B78112679 (en adelante, la parte reclamada o LISMARTSA). Los motivos en que basa la reclamación son los siguientes: Presenta reclamación porque su empresa la ha incluido en un grupo de WhatsApp sin su consentimiento. Manifiesta que prohibió a su empresa comunicarse con ella por medio de teléfono o WhatsApp y que solo se comunica a través de correo electrónico. Junto con la reclamación, aporta varias capturas de pantalla de un grupo de WhatsApp denominado “Comisión Igualdad” integrado por 4 personas, una de las cuales es la parte reclamante. En dichas capturas de pantalla se muestra que el grupo fue creado el 28/10/2021 por el titular de la línea ***TELÉFONO.1 y la reclamante fue agregada por un usuario que no se encuentra entre sus contactos. La reclamante no indica el número de la línea telefónica afectada que fue incluido en el grupo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/27 SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a LISMARTSA para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 14 de junio de 2022 como consta en el acuse de recibo que obra en el expediente. Con fecha 5 de julio de 2022 se recibe en esta Agencia escrito de respuesta de fecha 4 de julio de 2022 indicando, a modo de síntesis, lo siguiente: 1. LISMARTSA es una empresa con más de 50 trabajadores y está obligada conforme a la legislación vigente a contar con un Plan de Igualdad desde 7 de marzo de 2022. En julio de 2021 se iniciaron las gestiones para contratar a una consultora especializada en el asesoramiento para el desarrollo de dicho Plan. 1. En el escrito se detallan las fechas en las que LISMARTSA se puso en contacto con el (…) solicitando que facilitara el nombre de los (…), sin obtener respuesta. 2. El 28 de octubre de 2021 LISMARTSA creó un grupo de WhatsApp denominado “Comisión Igualdad” incluyendo en el mismo a (…). La parte reclamada destaca que el objetivo de este era tratar de agilizar la designación de los (…). 3. En su escrito LISMARTSA destaca: “Ante la insistencia de la empresa en obtener respuesta por mail, a la necesidad de formar una Comisión Negociadora de Igualdad y no ser posible, recurre al contacto telefónico y por WhatsApp con la finalidad de cumplir los plazos establecidos para la empresa en la implantación y desarrollo del Plan de Igualdad.” 4. LISMARTSA señala que la parte reclamante no ha ejercitado sus derechos de acceso, rectificación, cancelación y oposición ante ella. TERCERO: Con fecha 11 de agosto de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 26 de septiembre de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5

1. a)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/27 QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba que: 1.“La reclamante había autorizado a esta entidad al tratamiento de sus datos, tratamiento que incluía la posible cesión al “(…)”. A estos efectos remite, junto con el escrito de alegaciones el “Consentimiento para la recogida de datos de carácter personal” de fecha 8 de enero de 2020 firmado por la reclamante. 2. Una cronología sobre cómo sucedieron los hechos, adjuntando unos correos electrónicos enviados, que no obtuvieron respuesta. 3. La reclamante no ha hecho uso del derecho de limitación de sus datos personales. 4. La parte reclamada considera que en este caso concurren una serie de atenuantes: Respecto a las establecidas en el artículo 83 del RGPD, entiende que concurren las siguientes: - La del apartado a), pues “En ningún momento ha habido un propósito de dañar a ninguna de las personas implicadas, habiendo sido una comunicación con alcance limitado con un número escaso, determinado y conocido de destinatarios (…). Adicionalmente, el nivel de daños y perjuicios se estima como bajo, teniendo además en cuenta que se aplicarán medidas para mitigar los mismos si esta autoridad entiende que se ha procedido de manera incorrecta. Se adjunta como documento Nº3 el “Acta de Constitución del (…) de Lismartsa” dónde se refleja que los miembros del grupo de whatsapp, con (…). No ha habido un número elevado ni significativo de personas afectadas.” - La del apartado b), pues “Esta parte ha actuado en todo momento bajo la creencia de estar cumpliendo la normativa vigente, tanto en materia de protección de datos, como de igualdad y laboral al contar con la autorización al uso de datos personales, concretamente a la cesión de sus datos y cumpliendo una obligación establecida en la legislación laboral. En ningún momento ha habido intencionalidad en perjudicar a la reclamante.” - La del apartado c), porque “Se ha solicitado a todos los destinatarios que eliminen el teléfono de la reclamante objeto del presente procedimiento, solicitándoles confirmación de dicha eliminación.” Adjunta sendos escritos enviados a dos empleados de dicha empresa, solicitando la supresión del teléfono de la reclamante. Asimismo, indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/27 “Adicionalmente, esta parte ha contratado a una consultora especializada en cumplimiento normativo, para obtener un acompañamiento y asesoramiento experto en la materia de cumplimiento normativo, especialmente en cuanto atañe al tratamiento de datos personales. En virtud de nuestro compromiso y la intención de poner remedio y mitigar posibles efectos adversos, se han contratado 4 formaciones en materia de cumplimiento normativo, en nuestro actual proceso de mejora continua.” Acompaña diplomas acreditativos de la realización de un curso y se destaca el contenido del mismo. - La del apartado e), pues “A fecha del presente escrito, esta entidad no ha tenido ninguna sanción en materia de protección de datos personales.” - La del apartado f), toda vez que “Esta parte se ha mostrado totalmente cooperante con esta autoridad de control, y asume el total compromiso de que así siga siendo durante todo el procedimiento. Entre los servicios contratados, consta también el asesoramiento ante procedimientos ante la autoridad de control, por lo que nos acompañarán en todas las medidas que esta autoridad estime necesaria aplicar. Adicionalmente, se ha enviado una carta a la reclamante para trasladarle las disculpas de la entidad, así como nuestro compromiso de que no vuelva a suceder, informando de las medidas llevadas a cabo para minimizar los riesgos en el caso de que esta autoridad de control entienda que no se ha actuado conforme a la normativa (carta solicitando la supresión del teléfono).” - La del apartado g), pues “Únicamente se han visto afectados el dato del teléfono, sin que se hayan comprometido datos personales que permitan la suplantación de identidad o el robo de credenciales. Tampoco se han visto afectadas categorías especiales de datos ni datos especialmente sensibles.” Respecto a las establecidas en el artículo 76.2 de la LOPDGDD, entiende que concurren las siguientes: - La del apartado a), toda vez que “Se trata de una infracción totalmente puntual y excepcional, motivada por la necesidad de formar al comité de empresa para el cumplimiento de la legislación vigente.” - La del apartado b), pues “La actividad de la empresa es la limpieza, por lo que no tiene como actividad principal el tratamiento de datos personales para el desarrollo de su actividad económica.” - La del apartado c), porque “No se ha obtenido ningún beneficio con la infracción.” - La del apartado d), toda vez que “Tanto la firma de la autorización, como la ausencia continuada de respuesta a los correos electrónicos para formar la Comisión de Igualdad han afectado a la conducta de esta entidad para la creación del grupo de WhatsApp.” - La del apartado f), porque “No se ha visto afectado ningún derecho de ningún menor ni colectivo vulnerable o en riesgo de exclusión.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/27 5.- Que la sanción de apercibimiento sería más proporcional al caso concreto planteado, “teniendo en cuenta las medidas adoptadas y las atenuantes concurrentes, así como la situación económica delicada en la que nos encontramos.” SEXTO: Con fecha 28 de febrero de 2023 se acuerda abrir una fase de práctica de prueba. Se acuerda, asimismo, dar por reproducidos, a efectos probatorios, la reclamación interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, que forman parte del procedimiento ***PROCEDIMIENTO.1. Asimismo, se acuerda dar por reproducidas, a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por LISMARTSA, S.L., y la documentación que a ellas acompaña. Se practican las siguientes diligencias de prueba: 1. En el mismo escrito de fecha 28 de febrero de 2023 en el que se comunica la apertura de la fase de prueba, se requiere a LISMARTSA, S.L. para que aclare: - Si el número de teléfono móvil de Dña. A.A.A. que fue incluido en el grupo de WhatsApp denominado “Comisión Igualdad” fue un número de teléfono móvil particular de dicha trabajadora, o por el contrario se trataba de uno corporativo aportado por la empresa (en este último caso, deberá aportar acreditación documental). - Si el número de teléfono móvil ***TELÉFONO.1, que creó el 28 de octubre de 2021 el grupo de WhatsApp denominado “Comisión Igualdad” y, posteriormente, añadió a dicho grupo el número de teléfono móvil de Dña. A.A.A., era un número de teléfono móvil corporativo. 2. Con fecha 1 de marzo de 2023 se recibió respuesta de la parte reclamada a las pruebas solicitadas, en la que LISMARTSA manifiesta lo siguiente: “ - El número de teléfono móvil de Dña. A.A.A. que fue incluido en el grupo de whatsapp era el suyo particular, igual que el teléfono del resto de miembros del comité que fueron incluidos en dicho grupo. - El número de teléfono móvil ***TELÉFONO.1 es corporativo, es el que tenía el anterior Administrador de Lismartsa y en la actualidad lo tengo yo, (…).” SÉPTIMO: Se acompaña como anexo relación de documentos obrantes en el procedimiento. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/27 PRIMERO: El 28 de octubre de 2021 LISMARTSA creo, utilizando el teléfono móvil corporativo ***TELÉFONO.1 un grupo de WhatsApp denominado “Comisión Igualdad”. SEGUNDO: Posteriormente, utilizando el mismo número de teléfono móvil corporativo, la mencionada empresa añadió a dicho grupo de WhatsApp el número de teléfono móvil particular de Dña. A.A.A. y los números de teléfono móvil particulares de otros dos trabajadores de dicha empresa. La empresa afirma en su escrito de fecha 19 de octubre de 2022, por el que formula alegaciones al acuerdo de inicio, que la inclusión de los (…) y de la reclamante en el grupo de WhatsApp se produjo con fecha 9 de diciembre de 2021. TERCERO: Al añadir los números de teléfono móvil particulares de la reclamante y de otros dos (…) al grupo de WhatsApp, reveló dichos datos de carácter personal al resto de integrantes del grupo. CUARTO: Los escritos aportados por LISMARTSA muestran que la creación del grupo de WhatsApp pretendía agilizar la designación de los (…). Así, en el escrito de LISMARTSA de 4 de julio de 2022, elaborado en contestación al traslado de la reclamación por parte de esta Agencia, se indica: (el subrayado es nuestro) “El 28.10.2021 formo un grupo de whatsApp denominado “Comisión Igualdad” incluyendo a los tres (…) desde el nº de teléfono ***TELÉFONO.1 que antes pertenecía al anterior Administrador único de LISMARTSA, utilizándolo yo B.B.B., (…). A Dña. A.A.A., no me dejó la aplicación incluirla en el grupo porque me tenía bloqueada. Dos días antes de crear dicho grupo le informé de la necesidad de formar la Comisión, y cómo no había informado (…), creé el grupo para agilizar la gestión.” En este mismo sentido, en los escritos de fecha 13 de octubre de 2022 dirigidos a las dos personas que fueron incluidas, junto con la reclamante, en el grupo de WhatsApp “Comisión Igualdad” se destaca (el subrayado es nuestro). “(…), fueron incluidos en un grupo de whatsap, llamado “Comisión de Igualdad” (…) para ello. Los incluí sin pedirles permiso, (…)” QUINTO: La comunicación que LISMARTSA pretendía realizar a la reclamante finalmente se entregó en mano el 30 de diciembre de 2021. SEXTO: La reclamante mantenía las comunicaciones con la dirección de su empresa a través del correo electrónico. Así lo acreditan los correos electrónicos de fechas 20 de mayo de 2018, 21 de mayo de 2019 y 5 de junio de 2019 aportados por la empresa, enviados por la reclamante, a través de una cuenta de correo electrónico personal creada en gmail, a “LISMARTSA, S.L.”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/27 Dicha trabajadora no deseaba recibir comunicaciones procedentes de la dirección de su empresa a través de WhatsApp: En este sentido, en el escrito de reclamación de fecha 11 de mayo de 2022 la reclamante afirma: “Yo le tengo prohibido comunicarse conmigo por medio de tlf o Whasap.” (el subrayado es nuestro). Asimismo, en el escrito de 4 de julio de 2022, que ha sido parcialmente reproducido en el hecho probado cuarto, (…) indica: “no me dejó la aplicación incluirla en el grupo porque me tenía bloqueada.” el subrayado es nuestro). FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cambio de calificación jurídica de los hechos objeto de la reclamación Con carácter previo al análisis de las alegaciones presentadas, resulta necesario centrar nuestra atención en el resultado de la fase de práctica de pruebas, reflejada en los hechos probados. Durante dicha fase probatoria ha quedado acreditado que el número de teléfono móvil (…), que creó el grupo de WhatsApp “Comisión Igualdad” el 28 de octubre de 2021 y que añadió al mismo el número de teléfono móvil de la reclamante y los números de teléfono móvil de otros dos trabajadores de LISMARTSA, era un número de teléfono móvil corporativo. Asimismo, ha quedado demostrado que el número de teléfono móvil de la reclamante y los números de los teléfonos móviles de (…), que fueron incluidos en dicho grupo, eran sus números particulares. En consecuencia, se aprecia que los hechos objeto de la reclamación, objeto de este expediente sancionador, se ajustan perfectamente a la tipificación contemplada en los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/27 artículos 5.1
2. f)y 32 del RGPD. Por este motivo, procede un cambio en la calificación jurídica de dichos hechos con respecto a la calificación jurídica efectuada en el acuerdo de inicio. Respecto a si es o no procedente cambiar en fase de propuesta la calificación jurídica de los hechos objeto de la reclamación, calificación jurídica efectuada en el acuerdo de Inicio, y a la incidencia que tal cambio puede tener en el derecho de defensa de la entidad reclamada, conviene señalar que nada impide hacer esta modificación siempre y cuando, como ahora sucede, permanezcan invariables los hechos en los que se funda la imputación formulada. El Tribunal Constitucional (en adelante TC) ha venido señalando que “el contenido esencial del derecho constitucional a ser informado de la acusación se refiere a los hechos considerados punibles que se imputan al acusado” (STC 95/1995). (El subrayado es de la AEPD). Por el contrario, y a diferencia de lo que acontece con los hechos, el TC, en Sentencia 145/1993 advierte que la comunicación al presunto infractor de la calificación jurídica y de la eventual sanción a imponer no integra el contenido esencial del derecho a ser informado de la acusación. Hasta tal punto es importante la puesta en conocimiento de los hechos constitutivos de la infracción administrativa, que el TC ha declarado que las exigencias del artículo 24.2 de la CE se satisfacen fundamentalmente con la sola comunicación de los hechos imputados para poder defenderse sobre los mismos (STC 2/1987 y 190/1987). En esta línea el Tribunal Supremo, Sentencia de 3 de marzo de 2004, señala que “la finalidad primordial del acuerdo de inicio es informar sobre los hechos imputados y no sobre la calificación jurídica, de lo que se encargará la propuesta de resolución”. (El subrayado es nuestro). III Análisis de las alegaciones formuladas En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: LISMARTSA presenta un primer bloque formado por tres alegaciones, que pasan a exponerse a continuación: 1.“La reclamante había autorizado a esta entidad al tratamiento de sus datos, tratamiento que incluía la posible cesión al “(…)”. 2. Una cronología sobre cómo sucedieron los hechos, adjuntando unos correos electrónicos enviados, que no obtuvieron respuesta. 3. La reclamante no ha hecho uso del derecho de limitación de sus datos personales. Pasemos a analizar el contenido de dichas alegaciones En relación con la primera alegación: “La reclamante había autorizado a esta entidad al tratamiento de sus datos, tratamiento que incluía la posible cesión al “(…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/27 En este caso, tras el cambio de calificación jurídica, no se está efectuando un análisis del consentimiento como posible causa de legitimadora del tratamiento. Si bien, una vez analizada la documentación que obra en el expediente, se estima que, tal y como la reclamante afirma en su reclamación, las comunicaciones que mantenía con la dirección de LISMARTSA se producían exclusivamente a través del correo electrónico. En cuanto a la cronología de los hechos, el escrito de alegaciones afirma lo siguiente: “El 26.10.2021 se envía un mail a la (…) (reclamante) para formar el (…), sin obtener respuesta alguna. El 4.11.2021 remito mail a los (…) informando de la necesidad de implantar el Plan de Igualdad, de la que nos re recibe respuesta tampoco. (…) En mail remitido por la empresa con fecha 20/12/2021 se solicita a la reclamante determinar el “canal de comunicación entre el (…) y la empresa” sin obtener respuesta.” En el escrito de LISMARTSA de 4 de julio de 2022, elaborado en contestación al traslado de la reclamación por parte de esta Agencia, se indicaba: (el subrayado es nuestro) “El 28.10.2021 formo un grupo de whatsApp denominado “Comisión Igualdad” incluyendo a los tres (…) desde el nº de teléfono ***TELÉFONO.1que antes pertenecía al anterior Administrador único de LISMARTSA, utilizándolo yo B.B.B., cómo (…). A Dña. A.A.A., no me dejó la aplicación incluirla en el grupo porque me tenía bloqueada. Dos días antes de crear dicho grupo le informé de la necesidad de formar la Comisión, y cómo no había informado al resto de delegados, creé el grupo para agilizar la gestión.” Si bien se entiende que la (…) creara dicho grupo con el propósito de agilizar la designación de los miembros de la (…), no se considera que el método utilizado fuera el idóneo. Al añadir los números de teléfonos móviles particulares de tres empleados al mencionado grupo, se estaban facilitando de forma automática dichos datos de carácter personal al resto de integrantes del mismo. Tampoco era la única vía posible de cara a efectuar la comunicación a la reclamante, ya que finalmente ésta se hizo en mano el día 30 de diciembre de 2021, tal y como se destaca posteriormente en dicho escrito: “El 30.12.2021 Dña. A.A.A. acude a la sede de Lismartsa para que se le haga entrega de documentación anonimizada como (…) y firma el documento que le facilita la empresa indicando que LISMARTSA continuará de manera unilateral adelante con el desarrollo del Plan, y ella añade con su puño y letra que (…).” El escrito de alegaciones continúa afirmando: “La reclamante no hace uso del derecho de limitación de sus datos personales.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/27 Aunque la reclamante no hubiera hecho uso previamente del derecho de limitación de sus datos personales, dicha circunstancia no justificaba que la empresa creara un grupo de WhatsApp y añadiera a dicho grupo el número de teléfono móvil particular de la trabajadora, facilitando dicho dato de carácter personal al resto de integrantes del mismo. A continuación, se va a proceder al análisis de alegaciones formuladas por la parte reclamada en relación con diversas circunstancias o criterios de graduación de la multa propuesta en este expediente, que son cuestionados por LISMARTSA, al considerarlos atenuantes que deberían haber sido tenidos en cuenta por la AEPD. - Artículo 83.2.
3. a)del RGPD: “la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido”. Al respecto, la parte reclamada señala que “En ningún momento ha habido un propósito de dañar a ninguna de las personas implicadas, habiendo sido una comunicación con alcance limitado con un número escaso, determinado y conocido de destinatarios (…). Adicionalmente, el nivel de daños y perjuicios se estima como bajo, teniendo además en cuenta que se aplicarán medidas para mitigar los mismos si esta autoridad entiende que se ha procedido de manera incorrecta. (…) No ha habido un número elevado ni significativo de personas afectadas.” Aunque el número de personas afectadas no sea elevado (tres personas), esos tres empleados se vieron afectados por las actuaciones de LISMARTSA (creación de un grupo de WhatsApp y posterior inclusión de sus números de teléfono móviles particulares en el mismo). En el caso analizado, se produjo una pérdida de control sobre un dato de carácter personal (el número de teléfono móvil particular), que fue facilitado al resto de integrantes del grupo. La mencionada revelación de un dato de carácter personal no queda desvirtuada por el hecho de que, tras recibir el acuerdo de inicio de fecha 26 de septiembre de 2022, la empresa se dirigiera por escrito a dos de dichos empleados solicitando que borrasen el número de teléfono móvil particular de la reclamante. El considerando 150 del RGPD señala que “(…) El presente Reglamento debe indicar las infracciones así como el límite máximo y los criterios para fijar las correspondientes multas administrativas, que la autoridad de control competente debe determinar en cada caso individual teniendo en cuenta todas las circunstancias concurrentes en él, atendiendo en particular a la naturaleza, gravedad y duración de la infracción y sus consecuencias y a las medidas tomadas para garantizar el cumplimiento de las obligaciones impuestas por el presente Reglamento e impedir o mitigar las consecuencias de la infracción. (…)” Esto es, las circunstancias reguladas en el artículo 83.2.
4. a)del RGPD son el punto de partida para la determinación de la cuantía de la multa administrativa, pues, tal y como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/27 indican las Directrices 04/2022 del Comité Europeo de Protección de Datos sobre el cálculo de las multas administrativas con arreglo al RGPD, en su versión de 12 de mayo de 2022, sometidas a consulta pública, “En función de las circunstancias del caso, la autoridad de control podrá considerar que los elementos anteriores aumentan o disminuyen la gravedad percibida. Si no son de especial relevancia, también pueden considerarse neutras. Asimismo, cabe destacar que los importes de las multas establecidos en el fundamento de derecho IX, tal y como se expondrá posteriormente, se encuentran claramente en el rango inferior de los importes de multas posibles. - Artículo 83.2.
5. b)del RGPD: “la intencionalidad o negligencia en la infracción”, pues, señala la parte reclamada, “Esta parte ha actuado en todo momento bajo la creencia de estar cumpliendo la normativa vigente, tanto en materia de protección de datos, como de igualdad y laboral al contar con la autorización al uso de datos personales, concretamente a la cesión de sus datos y cumpliendo una obligación establecida en la legislación laboral. En ningún momento ha habido intencionalidad en perjudicar a la reclamante.” Tampoco cabe apreciar la concurrencia de esta circunstancia. En el caso de que se apreciase que no se ha producido una infracción intencionada, sino una actuación de carácter negligente, cabe recordar que según las Directrices 04/2022 del Comité Europeo de Protección de Datos sobre el cálculo de las multas administrativas con arreglo al RGPD, en su versión de 12 de mayo de 2022, sometidas a consulta pública, “la negligencia podría, en el mejor de los casos, considerarse neutral.” - Artículo 83.2.
6. c)del RGPD: “cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados”. “Se ha solicitado a todos los destinatarios que eliminen el teléfono de la reclamante objeto del presente procedimiento, solicitándoles confirmación de dicha eliminación. Se adjunta como DOCUMENTO Nº 4, comunicado enviado a los destinatarios solicitando la supresión de dicho teléfono. Adicionalmente, esta parte ha contratado a una consultora especializada en cumplimiento normativo, para obtener un acompañamiento y asesoramiento experto en la materia de cumplimiento normativo, especialmente en cuanto atañe al tratamiento de datos personales. En virtud de nuestro compromiso y la intención de poner remedio y mitigar posibles efectos adversos, se han contratado 4 formaciones en materia de cumplimiento normativo, en nuestro actual proceso de mejora continua.” No cabe apreciar que concurra la circunstancia de graduación del importe de la multa alegada, ya que ha quedado acreditada la creación de un grupo de WhatsApp por parte de LISMARTSA, utilizando un teléfono móvil corporativo, y la inclusión en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/27 mismo de los números de teléfonos móviles particulares de tres trabajadores de dicha empresa. Circunstancia que implicó una pérdida de control de dichos empleados sobre uno de sus datos de carácter personal, así como que fuera facilitado al resto de integrantes de dicho grupo. Las medidas adoptadas posteriormente por la parte reclamada al objeto de tratar de subsanar los perjuicios ocasionados, no se produjeron de forma espontánea, sino tras la recepción del acuerdo de inicio de expediente sancionador de fecha 26 de septiembre de 2022. En cuanto a la contratación de una consultora especializada en cumplimiento normativo, y las cuatro formaciones al respecto, si bien se valoran positivamente las medidas se considera que las mismas no van encaminadas a paliar los daños y perjuicios sufridos por la reclamante. - Artículo 83.2.
7. e)del RGPD: “toda infracción anterior cometida por el responsable o el encargado del tratamiento”, pues, señala la parte reclamada, que “A fecha del presente escrito, esta entidad no ha tenido ninguna sanción en materia de protección de datos personales.” A fecha de la presente propuesta de resolución LISMARTSA ha sido sancionada en materia de protección de datos personales por esta Agencia. En cualquier caso, en relación con la ausencia de antecedentes de infracciones cometidas con anterioridad, la Sentencia de la Audiencia Nacional, de 5 de mayo de 2021, rec. 1437/2020, nos suministra la contestación: “Considera, por otro lado, que debe apreciarse como atenuante la no comisión de una infracción anterior. Pues bien, el artículo 83.2 del RGPD establece que debe tenerse en cuenta para la imposición de la multa administrativa, entre otras, la circunstancia “
8. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento". Se trata de una circunstancia agravante, el hecho de que no concurra el presupuesto para su aplicación conlleva que no pueda ser tomada en consideración, pero no implica ni permite, como pretende la actora, su aplicación como atenuante”. A mayor abundamiento, las Directrices 04/2022 del Comité Europeo de Protección de Datos sobre el cálculo de las multas administrativas con arreglo al RGPD, en su versión de 12 de mayo de 2022, sometidas a consulta pública, señalan que “la ausencia de infracciones anteriores no puede considerarse un factor atenuante, ya que el cumplimiento del RGPD es la norma. Si no hay infracciones anteriores, este factor puede considerarse neutro.” - Artículo 83.2.
9. f)del RGPD: “el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción”. Considera la parte reclamada que concurre esta circunstancia de graduación porque “Esta parte se ha mostrado totalmente cooperante con esta autoridad de control, y asume el total compromiso de que así siga siendo durante todo el procedimiento. Entre los servicios contratados, consta también el asesoramiento ante procedimientos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/27 ante la autoridad de control, por lo que nos acompañarán en todas las medidas que esta autoridad estime necesaria aplicar. Adicionalmente, se ha enviado una carta a la reclamante para trasladarle las disculpas de la entidad, así como nuestro compromiso de que no vuelva a suceder, informando de las medidas llevadas a cabo para minimizar los riesgos en el caso de que esta autoridad de control entienda que no se ha actuado conforme a la normativa (carta solicitando la supresión del teléfono). Se adjunta como DOCUMENTO Nº 6, la carta trasladada a la reclamante.” En cuanto a la carta de disculpas a la reclamante, esta Agencia vuelve a destacar que la subsanación no se produjo de forma espontánea, sino tras la recepción del acuerdo de inicio de este expediente sancionador de fecha 26 de septiembre de 2022. Por otra parte, hay que tener en consideración las Directrices 04/2022 del Comité Europeo de Protección de Datos sobre el cálculo de las multas administrativas con arreglo al RGPD, en su versión de 12 de mayo de 2022, sometidas a consulta pública, las cuales señalan que “debe considerarse que el deber ordinario de cooperación es obligatorio y, por tanto, debe considerarse neutro (y no un factor atenuante).” - Artículo 83.2.
10. g)del RGPD: “Las categorías de datos de carácter personal afectados por la infracción”, pues, indica la parte reclamada, que “Únicamente se han visto afectados el dato del teléfono, sin que se hayan comprometido datos personales que permitan la suplantación de identidad o el robo de credenciales. Tampoco se han visto afectadas categorías especiales de datos ni datos especialmente sensibles.” En relación con esta alegación, de acuerdo con el contenido de la Sentencia de la Audiencia Nacional, de 5 de mayo de 2021, rec. 1437/2020, anteriormente reproducido: “Se trata de una circunstancia agravante, el hecho de que no concurra el presupuesto para su aplicación conlleva que no pueda ser tomada en consideración, pero no implica ni permite, como pretende la actora, su aplicación como atenuante”. - Artículo 76.2.
11. a)de la LOPDGDD: “El carácter continuado de la infracción”. LISMARTSA alega: “Se trata de una infracción totalmente puntual y excepcional, motivada por la necesidad de formar al (…) para el cumplimiento de la legislación vigente.” En este caso, al igual que sucedía con la afirmación relativa a no haber sido sancionado previamente en materia de protección de datos personales, la circunstancia alegada se trata de una circunstancia que, en su caso, incrementaría el importe de la sanción, el hecho de que no concurra el presupuesto para su aplicación conlleva que no pueda ser tomada en consideración, pero no implica ni permite, como pretende la parte reclamada, su aplicación como una circunstancia que rebaje el importe de la multa a imponer. - Artículo 76.2.
12. b)de la LOPDGDD: “La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.”, pues, señala la parte reclamada, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/27 “La actividad de la empresa es la limpieza, por lo que no tiene como actividad principal el tratamiento de datos personales para el desarrollo de su actividad económica.” Ciertamente, la actividad principal de la parte reclamada no está vinculada al tratamiento de datos personales, pero ello no ha de implicar que tal circunstancia sea considerada como una circunstancia de graduación que rebaje el importe de la multa a imponer, sino como una circunstancia neutra, al igual que sucedía con la ausencia de intención. Y es que no podemos olvidar que la protección de los datos personales es un derecho fundamental de las personas físicas amparado por el artículo 18.4 de la Constitución, por lo que la normativa reguladora al respecto es de obligado cumplimiento con independencia de que el tratamiento de datos sea la actividad principal de la empresa o no, pues, incluso estas entidades, realizan diversos tratamientos de datos personales de manera habitual para el desarrollo del funcionamiento de la entidad (gestión de nóminas, gestión de recursos humanos, etc). - Artículo 76.2.
13. c)de la LOPDGDD “Los beneficios obtenidos como consecuencia de la comisión de la infracción”. En este sentido, LISMARTSA alega: “No se ha obtenido ningún beneficio con la infracción”. Este criterio de graduación se establece en la LOPDGDD de acuerdo con lo previsto en el artículo 83.2.
14. k)del RGPD, según el cual las multas administrativas se impondrán teniendo en cuenta cualquier “factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”, entendiéndose que evitar una pérdida tiene la misma naturaleza a estos efectos que la obtención de beneficios. Conforme a lo previsto en el artículo 83.1 del RGPD: “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” En consecuencia, admitir la ausencia de beneficios como una atenuante, no solo es contrario a los presupuestos de hecho contemplados en el artículo 76.2.c), sino también contrario a lo establecido en el artículo 83.2.
15. k)del RGPD y a los principios señalados. Así, al valorar la ausencia de beneficios como una circunstancia que permite rebajar el importe de la multa a imponer, se estaría anulando el efecto disuasorio de la multa, en la medida en que minora el efecto de las circunstancias que inciden efectivamente en su cuantificación, reportando al responsable un beneficio del que no se ha hecho merecedor. Sería una rebaja artificial de la sanción que puede llevar a entender que infringir la norma sin obtener beneficios, financieros o del tipo que fuere, no le producirá un efecto negativo proporcional a la gravedad del hecho infractor. Anteriormente hemos citado la Sentencia de la Audiencia Nacional, de 5 de mayo de 2021, que indica: “Considera, por otro lado, que debe apreciarse como atenuante la no comisión de una infracción anterior. Pues bien, el artículo 83.2 del RGPD establece que debe tenerse en cuenta para la imposición de la multa administrativa, entre otras, la circunstancia “
16. e)toda infracción anterior cometida por el responsable o el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/27 encargado del tratamiento". Se trata de una circunstancia agravante, el hecho de que no concurra el presupuesto para su aplicación conlleva que no pueda ser tomada en consideración, pero no implica ni permite, como pretende la actora, su aplicación como atenuante”. En consecuencia, la ausencia de obtención de beneficios con la infracción alegada por LISMARTSA, no podría ser considerada como una circunstancia que permitiera rebajar el importe de la multa a imponer. - Artículo 76.2.
17. d)de la LOPDGDD: “La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.” En su escrito de alegaciones LISTMARSA indica: “Tanto la firma de la autorización, como la ausencia continuada de respuesta a los correos electrónicos para formar la Comisión de Igualdad han afectado a la conducta de esta entidad para la creación del grupo de WhatsApp.” Esta Agencia no comparte dicha alegación. El hecho de que la reclamante no respondiera a los correos electrónicos enviados por la parte reclamada, no justificaba que la empresa utilizara un teléfono móvil corporativo para crear un grupo de WhatsApp al que posteriormente añadió el número de teléfono móvil particular de la reclamante y los números de teléfono particulares de otros dos empleados al mismo, facilitando dichos datos de carácter personal al resto de integrantes del grupo. - Artículo 76.2.
18. f)de la LOPDGDD: “La afectación a los derechos de los menores.”, toda vez que, indica la parte reclamada, “No se ha visto afectado ningún derecho de ningún menor ni colectivo vulnerable o en riesgo de exclusión.” De nuevo, que no haya menores ni personas pertenecientes a un colectivo vulnerable o en riesgo de exclusión afectados por la actuación de la parte reclamada, no implica que se tenga que aplicar la circunstancia del artículo 76.2.
19. f)de la LOPDGDD como una circunstancia que rebaje el importe de la multa a imponer. Y es que, al igual que indicábamos, en relación con la circunstancia relativa a las categorías de datos afectadas (artículo 83.2.
20. g)del RGPD), que cuantas más categorías de datos se encontraran afectadas o más sensibles fueran los datos, más estricta debería ser la sanción, cuando el tratamiento que realiza el infractor afecte a derechos de menores, más elevada debe ser la cuantía de la multa. Finaliza la parte reclamada su escrito de alegaciones al acuerdo de inicio indicando que la sanción de apercibimiento sería más proporcional al caso concreto planteado, “teniendo en cuenta las medidas adoptadas y las atenuantes concurrentes, así como la situación económica delicada en la que nos encontramos.” El artículo 58.2 del RGPD prevé: “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
21. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/27 (…)
22. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;” Por su parte, el artículo 83.2 del RGPD dispone: “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
23. a)a
24. h)y j).” Asimismo, ha de respetarse lo dispuesto en el artículo 83. 1 del RGPD: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” En base a lo dispuesto en dichos artículos y atendiendo a las circunstancias particulares del caso analizado, la AEPD ha decidido imponer una multa administrativa. Finalmente, cabe recordar que el considerando 148 del RGPD dispone: “