PS-00505-2023

1/25  Expediente N.º: EXP202313227 (PS/00505/2023) RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 11 de agosto de 2023 presentó reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra ASYMECO, S.A. con NIF A16018269 (en adelante, ASYMECO). Los motivos en que basa la reclamación son los siguientes: La parte reclamante, trabajador de la empresa reclamada, expresa que (...) de ésta le envía datos personales o comunicaciones de los clientes al WhatsApp personal de la parte reclamante. Indica la parte reclamante que el citado (…) ya ha sido avisado en varias ocasiones para que no le envíe tales datos de los clientes a su WhatsApp personal, además que no autoriza el uso de su teléfono móvil personal ni sus cuentas personales como medios para trabajar. Junto a la reclamación se aporta:

1. a)correo electrónico de la parte reclamante desde la cuenta corporativa al (...) de la empresa sobre un cliente, con fecha de 22 de julio de 2023;
2. b)correo electrónico de respuesta (…) señalando que le dejó un mensaje ayer por la tarde y que no entiende por qué le responde a mediodía. Además, muestra su disconformidad, enfado por el trato que se le ha dado al cliente, con fecha de 22 de julio de 2023;
3. c)correo electrónico de la parte reclamante desde la cuenta corporativa respondiendo al (...) de la empresa advirtiéndole que su teléfono y WhatsApp personales no son herramientas de trabajo y que (…), además, le contacta fuera del horario de trabajo, con fecha de 22 de julio de 2023;
4. d)correo electrónico de la parte reclamante desde su cuenta personal a la empresa sobre un problema con su nómina, con fecha de 9 de diciembre de 2022;
5. e)respuesta de la empresa indicándole que la cuenta de correo corporativo de la empresa no es el medio más apropiado para sus cuestiones personales y que tiene el teléfono (…) para comunicar directamente con él, con fecha de 9 de diciembre de 2022;
6. f)imágenes de la conversación de WhatsApp entre la parte reclamante y (…), con fechas de 13 y 29 de junio de 2022, 28 de abril de 2023, 3 de mayo de 2023, 17 y 27 de julio de 2023. Transcribe los audios (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/25 SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a ASYMECO, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 2 de octubre de 2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 2 de noviembre de 2023 se recibe en esta Agencia escrito de respuesta indicando lo siguiente: “PRIMERA.- En primer lugar hacer constar que la utilización del WhatsApp para las conversaciones entre empresario y la parte reclamante , en la actualidad ex trabajador de la empresa , es una herramienta de trabajo y un canal de comunicación habitual de la empresa con los trabajadores desde hace décadas, que todos y cada uno han aceptado como vía útil, practica y ágil entre las partes. • Así lo ha sido desde el inicio de la relación laboral con la parte reclamante, al contar con su consentimiento previo, de hecho, cualquier comunicación del trabajador con el empresario ha sido siempre por esta vía y aceptando ambas partes de común acuerdo dicha interlocución. • Es importante destacar que no se trata de la inclusión por el empresario al reclamante en ningún grupo de WhatsApp sin su consentimiento que hubiera podido vulnerando la ley de protección de datos. • Los audios que se han reenviado tampoco suponen ninguna vulneración de protección y únicamente se reenviaban en la confianza habida entre ambos interlocutores y al objeto de ilustrar al mismo de las quejas en ese momento expuestas por el cliente. • Tampoco se han enviado comunicaciones fuera del horario laboral requiriendo ninguna comunicación expresa y precisa en dicho momento, si en algún momento se ha enviado fuera del horario laboral (que desconozco dicho dato) ha sido únicamente como informativo y para tenerlo en cuenta al comienzo de la siguiente jornada laboral. • Tampoco se le ha solicitado que comunique con ningún cliente a través de su dispositivo móvil ni por cualquier red social. • Todas las comunicaciones con clientes son a través del mail corporativo de la empresa y vía telefónica (desde el teléfono de la empresa). • En ningún momento existe sanción o reproche por parte de la empresa al reclamante si no ha sido contestada alguna comunicación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/25 • Ni tampoco se ha vulnerado la desconexión o descanso del trabajador que cumplía fielmente su horario sin demorar ni un solo minuto de su tiempo libre a trabajo por ningún requerimiento de la empresa. • Todos los trabajadores son testigos de lo expuesto y de las comunicaciones habidas entre las partes con consentimiento de que es un sistema habitual de comunicación a diario desde hace décadas. • Se encuentran a disposición de este organismo los historiales de WhatsApp de todos los trabajadores sin excepción en los mismos términos expuestos. SEGUNDA.- COSTUMBRE INVETERADA DEL DESPACHO PROFESIONAL ENTRE EMPLEADOS Y EMPRESARIO Todos los empleados por economía y por costumbre y agilidad en las comunicaciones se comunican con el Representante legal por WhatsApp desde hace treinta años que todo el mundo la hace y la consiente , máxime cuando en la mayoría de los días y mañanas el mismo está inmerso en procedimientos judiciales y por tanto no puede atender dudas o consultas telefónicas en varias horas , es por ello que todos los empleados sin excepción comunican con el mismo por esta vía por comodidad para los mismos y al objeto de poder resolver las dudas en ese momento. Estas comunicaciones se hacen "imprescindibles" para una correcta comunicación interna, ya que existen distintos centros de trabajo y el empresario normalmente no se encuentra presente en el centro de trabajo donde la parte reclamante prestaba sus servicios. TERCERO.-LA PARTE RECLAMANTE ACTUA EN CONTRA DE SUS PROPIOS ACTOS No parece lógico que un empleado en este caso la parte reclamante, inicie las conversaciones que le “interesan” ya sea negociar condiciones laborales, transmitir cuestiones de compañeros o hablar de cualquier tema personal y luego reproche que el empresario se dirija a el por esta via que el mismo ha iniciado. Se puede verificar en el historial de WhatsApp que la parte reclamante inicia las conversaciones También utiliza el WhatsApp para sus peticiones y cuestiones personales laborales: CUARTO.- REPRESALIA/ MOVIL EXPUREO DE LA PARTE RECLAMANTE /CONFLICTO LABORAL Esto obedece sin duda a una represalia por un conflicto laboral y se instrumentaliza esta vía por el trabajador con fines sin duda expúreos. De hecho, este trabajador ya no forma parte de la plantilla de la empresa al haber presentado una baja voluntaria sin ni siquiera respetar el periodo de preaviso pactado que le correspondía legalmente en perjuicio de la empresa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/25 Se trata de una denuncia falsa que contiene hechos inexactos y manipulados El trabajador había presentado una reclamación de cantidad contra la empresa que quedo sin efecto. Además, ha presentado una baja voluntaria sin respetar incluso el preaviso a la empresa con la antigüedad con la que contaba. Y por tanto se trata sin duda de un conflicto generado exclusivamente por la parte reclamante, por el hecho de que se le ha trasladado las quejas de clientes con la gestión y esto ha enfadado ahora a la parte reclamante QUINTO.- NO EXISTE NINGUNA VULNERACION DE LA LEY DE PROTECCION DE DATOS No se ha hecho ninguna difusión de ningún mensaje por parte del empresario porque además es el primer interesado en la confidencialidad de las conversaciones entre empleados y el mismo, salvo que el mismo reclamante la haya hecho cuya circunstancia desconocemos. No ha tenido ningún perjuicio la parte reclamante Y toda la reclamación obedece a móvil expúreo como se ha expuesto con anterioridad” TERCERO: Con fecha 9 de noviembre de 2023 la parte reclamante vuelve a dirigir un escrito a esta Agencia, en el que relata que, durante esa semana, de nuevo ha recibido mensajes sobre cuestiones de trabajo de un trabajador de ASYMECO, pese a que ya no continúa trabajando en dicha empresa. Junto a este escrito aporta imágenes de la conversación de WhatsApp entre la parte reclamante y el trabajador de ASYMECO. CUARTO: Con fecha 11 de noviembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad ASYMECO, S.A. es una microempresa constituida en el año 1986, y con un volumen de negocios de (…) euros en el año 2022. SEXTO: Con fecha 13 de febrero de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ASYMECO, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la supuesta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 de dicha norma, y por la supuesta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 de dicha norma, en el que se le indicaba que tenía un plazo de diez días para presentar alegaciones. Este acuerdo de inicio, que se notificó a ASYMECO conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/25 Común de las Administraciones Públicas (LPACAP), fue recogido en fecha 23 de febrero de 2024, como consta en el acuse de recibo que obra en el expediente. SÉPTIMO: Con fecha 12 de marzo de 2024, se recibe en esta Agencia, en tiempo y forma, escrito de ASYMECO en el que aduce alegaciones al acuerdo de inicio en el que, en síntesis, manifestaba que daba por reproducido el contenido de su respuesta al traslado de la reclamación por ser de plena vigencia, añadiendo que las manifestaciones que constan en la resolución dictada son erróneas. Además, según ASYMECO, fue la parte reclamante quien inicialmente empezó las comunicaciones a través de su propio teléfono y utilizando la aplicación de WhatsApp como consta aportado inicialmente por esta parte las capturas. OCTAVO: Con fecha 13 de junio de 2024, el órgano instructor del procedimiento sancionador formuló propuesta de resolución, en la que propone que por la Directora de la AEPD se sancione a ASYMECO, con NIF A16018269, por la infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 de dicha norma, con una multa de 5.000 € (cinco mil euros), y por la infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 de dicha norma; con una multa de 2.500 € (dos mil quinientos euros). Esta propuesta de resolución, que se notificó a ASYMECO conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogida en fecha 13 de junio de 2024, como consta en el acuse de recibo que obra en el expediente. NOVENO: Con fecha 26 de junio de 2024, se recibe en esta Agencia, en tiempo y forma, escrito de ASYMECO en el que aduce alegaciones a la propuesta de resolución en el que, en síntesis, se viene a ratificar los argumentos de las alegaciones al acuerdo de inicio, y se alega un precedente de esta Agencia, señalado con el número EXP202002690, en el que se dictó resolución de archivo, a efectos de justificar la inclusión en un grupo de WhatsApp creados con la finalidad de utilizar esta vía de comunicación en asuntos relacionados con el contrato de trabajo. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: En la imagen de pantalla de móvil de aplicación WhatsApp, de fecha 13 de junio de 2022 obrante en el expediente (página 11) consta el siguiente mensaje cuyo destinatario es el contacto “(…)”, con el siguiente texto: “… con respecto a utilizar el móvil tal y como te comenté el otro día hablando sobre otro cliente, no quiero utilizar mi móvil personal para tener conversaciones contigo sobre clientes. El móvil de Asymeco está disponible durante mi jornada de trabajo, por tanto es la mejor vía que tenemos para enviarte mensajes y que los puedas ver antes que por mail. Es cierto que no es la vía más rápida para recibirlos”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/25 SEGUNDO: En la imagen de pantalla de móvil de aplicación WhatsApp, de fecha 29 de junio de 2022 obrante en el expediente (página 12), se comprueba que se ha compartido un contacto por “(…)”, que la parte reclamante afirma que es de un cliente de la asesoría. TERCERO: El 22 de julio de 2022 se envió un correo electrónico por la parte reclamante desde la dirección (....)@asymeco.com a “Asymeco Madrid” “Laboral (…)”, con el asunto “(…)” y el siguiente texto: “[…] Lo que no puede ser es que después de avisarte por escrito VARIAS VECES y de forma CLARA que MI TELÉFONO y mi WhatsApp es PERSONAL Y PRIVADO y que no lo quiero utilizar para conversaciones contigo sobre clientes, OTRA VEZ me mandes mensajes sobre clientes y esperes que te conteste […] O bien, si te interesa, la empresa puede facilitarme un móvil de empresa con cuenta propia en WhatsApp o Telegram o la que la empresa considera…”. CUARTO: En la imagen de pantalla de móvil de aplicación WhatsApp, de fecha 28 de abril de 2023 obrante en el expediente (página 14) se constata que desde el contacto “(…)”, se han enviado a la parte reclamante tres documentos pdf con el nombre “INICIACIÓN EXPEDIENTE SANCIO…” que contiene datos personales de un cliente de ASYMECO. A continuación, existe una respuesta de la parte reclamante al envío de dichos documentos con el siguiente texto: “Ya te he comentado en varias ocasiones que no debes mandarme datos de clientes a mi teléfono personal. Necesito saber por qué lo sigues haciendo. Te he contestado a esto por el correo de ASYMECO”. Como respuesta a este mensaje, “(…)” envía un mensaje de audio cuyo contenido transcrito ha sido aportado por la parte reclamante junto con la reclamación: “(…), bueno, no recordaba cuándo tenías que ir al médico. En cualquier caso, no te mando datos de clientes, son cosas nuestras importantes. Igual que tú te diriges a mi móvil para tus cuestiones, yo también puedo dirigirme al tuyo para los temas de trabajo, te lo he dicho muchas veces. Manejas el teléfono en el trabajo, vale, con el wifi del trabajo. Por tanto es una forma de comunicación importante. Para ti y para nosotros. Y no solamente para lo que a ti te convenga. Por lo tanto, tengamos un poquito de normalidad, un poquito de reciprocidad No solamente para lo que queremos. […] Ante este mensaje, la parte reclamante vuelve a oponerse a “que utilices mi teléfono privado como herramienta de trabajo”. QUINTO: Según las imágenes aportadas por la parte reclamante, el 17 de julio de 2023 y el 10 de agosto de 2023 el contacto “(…)” envía mediante la aplicación WhatsApp datos personales de los clientes de la empresa al teléfono móvil de la parte reclamante, quien declara haber tratado este asunto con (...)de ASYMECO. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/25 SEXTO: Con fecha 10 de octubre de 2023 la parte reclamante puso fin a la relación laboral con ASYMECO, según resolución de reconocimiento de baja de la Tesorería General de la Seguridad Social, aportado por ASYMECO adjunto a sus alegaciones al acuerdo de inicio. SÉPTIMO: Con fecha 9 de noviembre de 2023 la parte reclamante comunica a esta Agencia que una persona que se identifica como trabajador de ASYMECO, con fecha 7 de noviembre de 2023 le ha enviado un mensaje para realizarle una consulta sobre “pormenores profesionales relacionados con un cliente”; como prueba de ello aporta imagen de conversación de WhatsApp. OCTAVO: Con fecha 12 de marzo de 2024, ASYMECO presente alegaciones al acuerdo de inicio en las que declara que ha utilizado el número de móvil privado de la parte reclamante para el envío de comunicaciones con datos de clientes de ASYMECO, afirmando que “es perfectamente válido la comunicación entre ellos y además entiende que el ahora reclamante entonces trabajador tiene una obligación general de confidencialidad del tratamiento de los datos de los clientes.” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/25 cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” Por su parte, el artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. En el presente caso, de acuerdo con lo establecido en el artículo 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que ASYMECO, como responsable del tratamiento, realiza la recogida, conservación y comunicación de, entre otros, los siguientes datos personales de personas físicas: nombre, apellidos y teléfono de sus trabajadores, así como de diversos datos personales de sus clientes, entre otros tratamientos. ASYMECO realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Por su parte, el artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales, mientras que en el artículo 32 del RGPD se regulan las medidas de seguridad que deben adoptarse para garantizar un nivel de seguridad adecuado al riesgo que presente el tratamiento de datos personales. III Contestación a las alegaciones aducidas al acuerdo de inicio y a la propuesta de resolución A) Con relación a las alegaciones aducidas por ASYMECO al acuerdo de inicio, se procede a dar respuesta a las mismas según el orden en que se exponen en su escrito: “PRIMERO.- Damos por reproducido el contenido de nuestras alegaciones anteriores por ser de plena vigencia y aplicación y para evitar innecesarias repeticiones” En consecuencia, se procede a contestar a lo incluido en la respuesta de la parte reclamada al traslado inicial de la reclamación por esta Agencia: - “PRIMERA”. Según ASYMECO, WhatsApp es una herramienta de trabajo y canal de comunicación habitual entre la empresa y los trabajadores, se contaba con el consentimiento previo del trabajador para utilizar esta vía de comunicación con la empresa, no se trata de su inclusión en un grupo de WhatsApp que sí hubiera requerido su consentimiento, no se han enviado comunicaciones fuera del horario C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/25 laboral, no se ha requerido al trabajador que contacte con ningún cliente a través de su dispositivo móvil o a través de una red social, las comunicaciones con clientes son a través del mail corporativo de la empresa y vía telefónica (desde el teléfono de la empresa), en ningún momento ha existido sanción o reproche por parte de la empresa a la parte reclamante si no ha sido contestada alguna comunicación, y por último, no se ha vulnerado la desconexión o descanso del trabajador. Como prueba de todo ello, ASYMECO señala que todos los trabajadores son testigos de lo expuesto y que se encuentran a disposición de este organismo los historiales de WhatsApp de todos los trabajadores. En respuesta a todas estas alegaciones cabe señalar, respecto a la infracción del artículo 6.1 del RGPD, que ASYMECO no ha acreditado que, una vez extinguida la relación laboral, contara con el consentimiento de la parte reclamante para hacer uso de su número de teléfono privado a efectos de ponerse en contacto con ésta. En cuanto a la infracción del artículo 32 del RGPD, que las comunicaciones se hayan producido o no en horario laboral, así como la existencia o no del consentimiento de la parte reclamante, no son determinantes de la responsabilidad administrativa, ya que la falta de medidas de seguridad apropiadas en el dispositivo privado de la parte reclamante concurre con independencia del horario en el que se enviaron los datos personales de los clientes de ASYMECO o de si había prestado su consentimiento. A diferencia de lo expresado por ASYMECO, de los mensajes reproducidos en los Hechos Probados queda clara la oposición de la parte reclamante a que su número privado fuese utilizado como vía de comunicación habitual con la empresa, por lo que tampoco se “aceptando ambas partes de común acuerdo dicha interlocución” Acerca de que la parte reclamante no haya tenido que utilizar su teléfono personal como medio de comunicación con los clientes de ASYMECO, esta circunstancia no se plantea por la parte reclamante, ni es objeto de consideración como infracción en este procedimiento. Del mismo modo debe contestarse la inexistencia de reproche por ASYMECO al trabajador por no haber contestado alguna comunicación. Por último, ASYMECO apunta a que todos los trabajadores son testigos de lo expuesto, pero no aporta, no ya algún testimonio de los demás trabajadores, sino algún documento que acredite el consentimiento relativo al uso de su teléfono personal otorgado por los trabajadores con carácter previo al inicio de la relación laboral. Por todo lo expuesto, se desestima la presente alegación. - “SEGUNDA.- COSTUMBRE INVETERADA DEL DESPACHO PROFESIONAL ENTRE EMPLEADOS Y EMPRESARIO” En contestación a este argumento debe señalarse que la actividad de la empresa que conlleve tratamiento de datos personales debe adaptarse a las previsiones del RGPD, por lo que razones de “economía”, “costumbre” o “agilidad” en las comunicaciones deben ser rechazadas. Por todo lo expuesto, se desestima la presente alegación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/25 - “TERCERO.-EL RECLAMANTE ACTUA EN CONTRA DE SUS PROPIOS ACTOS” Las conversaciones de WhatsApp que ASYMECO reproduce en esta alegación ya fueron presentadas por la parte reclamante junto a la reclamación (página 5 del expediente). Desde el correo “(...)@asymeco.com” se envió un mensaje a la parte reclamante indicándole que se pusiera en contacto a través del teléfono con el cargo de la empresa correspondiente, y que no era correcto utilizar el correo corporativo para “cuestiones particulares”, cuando lo que planteaba la parte reclamante eran cuestiones relativas al retraso de ingreso de su nómina, lo cual puede considerarse como un asunto relativo al funcionamiento de la empresa. Por todo lo expuesto, se desestima la presente alegación. - “CUARTO.- REPRESALIA/ MOVIL EXPUREO DEL RECLAMANTE / CONFLICTO LABORAL” Según ASYMECO, la reclamación tiene como origen un conflicto generado exclusivamente por la parte reclamante y se instrumentaliza esta vía por el trabajador con fines sin duda espurios, aportando unas conversaciones con la parte reclamante sobre su desempeño profesional y acerca de sus condiciones laborales. De la lectura de los hechos expuestos por la parte reclamante en su reclamación, así como de las conversaciones mantenidas con ASYMECO durante julio de 2022 y agosto de 2023, puede observarse que la parte reclamante ha realizado una serie de advertencias razonadas acerca del uso de una aplicación por la que se enviaban datos de terceros a un teléfono móvil privado, sin que se conozca las medidas de seguridad del dispositivo, como, a modo de ejemplo, quien puede tener acceso al mismo. El carácter fundamentado de tales hechos hace que carezca de relevancia la alegación relativa a los motivos por los que la parte reclamante interpuso la reclamación, y tampoco deben ser consideradas cuestiones como la evaluación del desempeño profesional o la existencia de algún tipo de conflicto entre empresa y trabajador sobre las condiciones laborales de este último. En resumen, puede decirse que no corresponde a esta Agencia analizar circunstancias que no tienen relación con los hechos objeto del presente procedimiento por los que la parte reclamante presentara la reclamación. Por todo lo expuesto, se desestima la presente alegación. - “QUINTO.- NO EXISTE NINGUNA VULNERACION DE LA LEY DE PROTECCION DE DATOS” Según ASYMECO “No se ha hecho ninguna difusión de ningún mensaje por parte del empresario porque además es el primer interesado en la confidencialidad de las conversaciones entre empleados y el mismo, salvo que el mismo reclamante la haya hecho cuya circunstancia desconocemos. No ha tenido ningún perjuicio el reclamante” Frente a esta alegación cabe responder que en el acuerdo de inicio se fundamentó debidamente las dos infracciones presuntamente cometidas por ASYMECO, ninguna C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/25 de las dos se refiere a que se haya producido una brecha en la confidencialidad de los datos de los clientes, pero sí se considera la falta de medidas de seguridad al enviar datos personales de los clientes de ASYMECO a un dispositivo privado, en el que se desconoce si existen las medidas con las que debe contar un dispositivo electrónico corporativo, en primer lugar, estableciendo una política de seguridad, así como una serie de herramientas, tales como, sistema de autenticación de usuario, antivirus, firewalls, capacidad de bloquear el acceso a nuestra información. Por otra parte, ASYMECO se puso en contacto con la parte reclamante una vez finalizada su relación laboral con ASYMECO, por lo que carecía de la base jurídica para considerar lícito este tratamiento, tal y como exige el artículo 6 del RGPD. Por todo lo expuesto, se desestima la presente alegación. “SEGUNDO.- Las manifestaciones que constan en la resolución dictada son erróneas” ASYMECO refiere que en la resolución “Se recoge que no existía un contrato laboral vigente entre Asymeco y la parte reclamante que determine la licitud del tratamiento ni el consentimiento para contactar con él una vez finalizada la relación laboral. Pues bien, se adjunta copia del contrato laboral entre ambas partes” En respuesta a este argumento, debe señalarse que, lo que se afirma en el acuerdo de inicio, es que no existía un contrato (laboral) vigente entre ASYMECO y la parte reclamante cuya ejecución determinase la licitud del tratamiento, ya que la comunicación se produjo el 9 de noviembre de 2023, cuando la relación laboral, según la propia ASYMECO, se extinguió el 10 de octubre de 2023, por baja voluntaria de la parte reclamante. Por todo lo expuesto, se desestima la presente alegación. “TERCERO.- El reclamante fue quien inicialmente empezó las comunicaciones a través de su propio teléfono y utilizando la aplicación de WhatsApp como consta aportado inicialmente por esta parte las capturas” En respuesta a esta alegación, de los mensajes aportados tanto por la parte reclamante como por ASYMECO, en ningún caso se prueba que la parte reclamante haya remitido datos personales de los clientes de ASYMECO por WhatsApp. Al contrario, de los mensajes obrantes en el expediente puede observarse los múltiples avisos realizados por la parte reclamante a ASYMECO acerca de la inconveniencia de compartir datos personales de los clientes de la empresa a través de la aplicación WhatsApp vinculada a su número privado. Por todo lo expuesto, se desestima la presente alegación. B) Con relación a las alegaciones aducidas por ASYMECO a la propuesta de resolución, debe señalarse que las mismas ya han sido respondidas en el apartado A) anterior, en el que se da respuesta a las cuestiones planteadas por dicha entidad con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/25 ocasión del trámite de traslado de la reclamación y en su escrito de alegaciones a la apertura del presente procedimiento. ASYMECO comienza su primera alegación haciendo referencia al principio de minimización de datos (artículo 5,1,
7. c)del RGPD), que no es objeto de imputación en el presente procedimiento, y reitera sus alegaciones anteriores, ya respondidas, sobre la no inclusión inconsentida en ningún grupo de whatsapp, sino de comunicaciones habituales que fueron iniciadas por la propia parte reclamante para fines propios y utilizadas cuando resultó imprescindible para agilizar el trabajo debido a que a la oficina se encuentra en una localidad a la de su residencia. Como alegación segunda, la parte reclamada invoca un precedente seguido en la AEPD, señalado con el número EXP202002690, en el que se resolvió el archivo de las actuaciones que tuvieron por objeto la inclusión del empleado en dos grupos de whatsapp. A este respecto, destaca que el presente caso únicamente tiene que ver con el traslado a la parte reclamante de la queja de un cliente, siendo esta una información pertinente y limitada a los fines que no causa perjuicio al reclamante ni al cliente, por cuanto la parte reclamante, como empleado de la parte reclamada, está obligada a guardar la debida confidencialidad. En tercer lugar, ASYMECO insiste en señalar que ese tipo de comunicaciones al teléfono particular de los empleados es una práctica habitual de la empresa consentida por todos ellos, para facilitar el servicio y su labor, con los datos mínimamente imprescindible. Y reitera una vez más que ninguno de los trabajadores ha formulado ninguna queja por este motivo y se encuentran dispuestos a testificar haber aceptado esas comunicaciones, que se han utilizado de forma correcta y sin difundir datos de terceros en perjuicio de los mismos. No obstante, se estima oportuno destacar nuevamente que el presente caso nada tiene que ver con la incorporación del teléfono particular de la parte reclamante en un grupo de whatsapp, de modo que las cuestiones analizadas en el precedente que ASYMECO invoca no son similares a las que motivan las infracciones ahora imputadas. Por otra parte, debe aclararse que el precedente señalado por ASYMECO se corresponde con el número EXP202105690 y no con el indicado en su escrito de alegaciones, antes reseñado. IV Licitud del tratamiento El artículo 6.1 del RGPD, “Licitud del tratamiento”, establece: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
8. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/25
9. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
10. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
11. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
12. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
13. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
14. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2…” Asimismo el Considerando 40 del mencionado RGPD, cuando dispone que «Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.» Por otra parte, el artículo 4 del RGPD, Definiciones, en sus apartados 1, 2 y 11, señala que: “1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; “2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/25 11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. Los hechos reclamados se concretan en el tratamiento por ASYMECO de los datos de la parte reclamante, concretamente, el relativo a su número de línea de telefonía móvil, sin que concurra alguna de las condiciones que determinen su licitud, al haberse puesto en contacto para realizar una consulta relativa la gestión contable de un cliente, una vez extinguida la relación laboral. El trabajador de ASYMECO se puso en contacto con la parte reclamante a través de la aplicación “WhatsApp”, como puede observarse en las capturas de pantalla de los mensajes obrante en el expediente (pág. 89). En las alegaciones presentadas por ASYMECO, no se realiza un análisis de cuál de las causas de licitud del tratamiento recogidas en el artículo 6.1 del RGPD podría concurrir, y se limita a indicar que es una “costumbre inveterada del despacho profesional”, y razones de agilidad y eficacia, que no justifican, en este caso, la utilización de los datos personales de la parte reclamante cuando no existía ninguna relación que les vinculara. No consta, por otra parte, que esa utilización posterior de los datos personales hubiese estado prevista inicialmente, que se hubiese informado sobre ello a la parte reclamante y ésta lo hubiese consentido específicamente. Así, en este caso, una vez finalizada la relación laboral (extinguido el contrato de trabajo), no existía ninguna de las causas previstas en el mencionado art. 6.1 que justificase la licitud del tratamiento realizado por ASYMECO. Por todo lo expuesto, se determina que no existía un contrato (laboral) vigente entre ASYMECO y la parte reclamante cuya ejecución determine la licitud del tratamiento, ni ASYMECO había obtenido el consentimiento de la parte reclamante para contactar con ella una vez finalizada la relación laboral, lo que supone la vulneración del artículo 6.1 del RGPD. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de resolución de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable al ASYMECO, por vulneración del artículo 6.1 del RGPD. V Tipificación y calificación de la infracción La citada infracción del artículo 6.1 del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/25
15. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (...).” A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72 de la LOPDGDD, que califica de muy grave la siguiente conducta: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
16. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679. (…)” VI Sanción a imponer por la infracción del artículo 6 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de propuesta de resolución de procedimiento sancionador, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD, que indica: “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
17. a)a
18. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
19. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
20. b)la intencionalidad o negligencia en la infracción;
21. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
22. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
23. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
24. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/25
25. g)las categorías de los datos de carácter personal afectados por la infracción;
26. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
27. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
28. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42,
29. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. En relación con la letra
30. k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
31. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
32. a)El carácter continuado de la infracción.
33. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
34. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
35. d)La posibilidad de que la conducta del afectado hubiera podido incluir a la comisión de la infracción.
36. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente
37. f)La afectación a los derechos de los menores
38. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
39. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/25 A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias existentes, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (apartado a): el tratamiento de datos personales por el que se sanciona, que resulta de la utilización del número de teléfono particular de la parte reclamante, tuvo lugar en una única ocasión y con la parte reclamante como única afectada. Como circunstancia del artículo 76.2 de la LOPDGDD, entendida en este caso como circunstancia agravante: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (apartado b): ASYMECO en el desarrollo de su actividad profesional necesita tratar de forma habitual datos personales, tanto de sus clientes como de sus propios trabajadores, lo que supone que tiene experiencia suficiente y debería contar con el adecuado conocimiento para el tratamiento de dichos datos. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 6.1 del RGPD, permite imponer una sanción de 2.500 € (dos mil quinientos euros). VII Medidas de seguridad El Artículo 32 del RGPD, “Seguridad del tratamiento”, establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
40. a)la seudonimización y el cifrado de datos personales;
41. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/25 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. Hay que señalar que el RGPD en el citado precepto no establece un listado de las medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto de tratamiento, sino que establece que el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, señalando que la determinación de las medidas técnicas y organizativas deberá realizarse teniendo en cuenta: la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. En este mismo sentido el considerando 83 del RGPD señala que: “