← España

PS-00527-2022

1/33  Expediente N.º: EXP202105914 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 15/11/2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra RYANAIR D.A.C. con NIF N0072244G (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes, según manifiesta la reclamante: La entidad reclamada inició un procedimiento disciplinario contra la reclamante, al considerar que presentaba ausencias injustificadas en el tiempo de trabajo, tomándole declaración “la responsable de la Base de Ryanair en el aeropuerto de Madrid/Barajas ”, empleada de RYANAIR que reside en Madrid “(máxima responsable de mi centro de trabajo)”el 15/06/2021. “Me “interrogó sobre mi asistencia al trabajo, y todas las situaciones de Incapacidad Temporal, o ausencia por motivos de salud que se habrían producido en 2020 y 2021” “… comuniqué verbalmente a la máxima responsable de la empresa Ryanair DAC en Madrid las razones sanitarias relativas a mis situaciones de baja o incapacidad, entendiendo que nuestra reunión tenía el debido carácter confidencial al ser la citada la máxima responsable de mi centro de trabajo.” “Con fecha de ***FECHA.1, recibo en mi “***INTRANET.1” (intranet de la empresa) una carta firmada por la “***PUESTO.1”(“responsable europea”, que contiene información confidencial sobre los motivos y razones médicas de mis Incapacidades Temporales. Ello implica que la responsable de Madrid compartió con la responsable europea unos datos médicos absolutamente confidenciales, siendo además la responsable europea tan irresponsable de firmar una comunicación escrita en la que hace uso de dichos datos confidenciales que nunca han sido puestos en su conocimiento por mi parte y a los que, por tanto, carece de acceso”. Manifiesta la reclamante que: “Dicha comunicación ha sido recibida por otros trabajadores de otras bases de la empresa Ryanair, así, me consta que el día ***FECHA.1, de la base de ***LOCALIDAD.1 (…) uno de mis compañeros me advirtió de que había recibido en su intranet personal, la referida carta con el código de trabajadora (***CÓDIGO.1) de la denunciante y todas las confidenciales informaciones sanitarias que contiene”. Junto a la reclamación aporta: -Pantallazos de la conversación mantenida entre la reclamante y un compañero, el ***FECHA.1, que a través de un chat se comunican y le indica que “le ha llegado esto”, mostrando una pantalla con el logo de la reclamada y el escrito, una carta- resolución, en inglés de 28/07/2021, dirigida a la reclamante, figurando “estrictamente privado y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/33 confidencial “en la zona derecha y unas columnas tipo Excel con fecha, sobre ausencias y razones, viéndose perfectamente. -Después, el 6/08/2021, la reclamante le pide que “le mande la carta”. Continuando su conversación, la reclamante le dice a su compañero que “es suficiente con la captura de pantalla de tu ***INTRANET.1 donde se vea mi carta con mi nombre”, respondiendo la otra parte y manteniendo el siguiente dialogo: “en el ***INTRANET.1 no está”. - “¿No te la mandaron ahí? -Es la que te mandé aquí. - ¿Dónde la recibiste?, por correo electrónico?, ¿en tu ***INTRANET.1? Porque yo la tengo en mi ***INTRANET.1. -Si, pero voy en los documentos leídos, no está. - Que raro, no sabía que podían borrar los documentos ya leídos. En mi ***INTRANET.1 la sigo teniendo ahí, aunque la haya leído. Gracias de todas formas”. -Copia de la carta, “Dublín”28/07/2021, firmada por “***PUESTO.1”, dirigida a la reclamante, “Inflight Department-Ryanair DAC” figurando: “Estrictamente privado y confidencial”, “enviada vía ***APP.1”. (coincide con la contenida en el pantallazo). En el cuerpo de la carta-resolución, menciona entre otros aspectos:

  1. a)“Refiero la reunión de investigación del 15/06/2021 con carácter de procedimiento disciplinario de RYANAIR, mencionando la persona de la empresa que la llevó a cabo, cuyo objeto era: “discutir los registros de asistencia general de los pasados 12 meses”.
  2. b)Se ilustra la carta con un cuadro Excel de fechas de ausencias/tipos de ausencias y/motivo, al que precede el literal: “En resumen a la reunión, usted ha estado ausente del trabajo un total de seis ocasiones como se señala a continuación”. El cuadro tiene tres columnas y filas. Las columnas se denominan: - “Fechas de ausencia”, abarcan fechas concretas o períodos, el primero, desde 17/06/2020 a 3/07/2020, 3/11/2020, 18/11/2020 19/01/2021 8 a 18/03/2021 El último,1 a 3/06/2021, - Junto a las “fechas de ausencia”, consta el “tipo de ausencia”, figurando: “certified sick”, (justificante médico) en cinco de las fechas/períodos, y solo en un caso, el primero, “certificado médico y no autorizado”. - En la última columna, “Reason”, (motivo), figurando “(…) “en tres de las fechas/períodos, uno con (…)”, uno con “(…)”, y uno con “(…)”, el que se corresponde con “certificado médico y no autorizado”, que es el que va de 17/06 a 30/07/2020. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/33 Repasa las ausencias consignadas siguientes: 1) En la reunión se le preguntó por períodos, y las manifestaciones de la reclamante se reflejan así: - “Desde el 11 al 30/07, no estuvo autorizada su ausencia porque no proporcionó un certificado médico actualizado. Como consecuencia, figura sin autorizar en su registro. En la reunión del 15/06, manifestó que los certificados fueron enviados y deberían haber sido registrados como “certificado médico”. - “sobre las ausencias de noviembre, 2020 “usted manifestó”, que “comenzó (…) que tenía que hacer en varias sesiones”. Se ha de destacar que, en el cuadro, en noviembre, hay dos días: 3 y 18, ambos con “justificante médico” y motivo “(…)”, o se le cuestiona por la “ausencia” de 19 March”) (no figura en el cuadro Excel, esa fecha, si una de 19/01/2021, que consta con “certificado médico”) respondió que “estaba (…)”, no constando esto en la columna de “motivo”. Cuando se le preguntó sobre el período 8-18/03/21, y de 1-3/06/21, (figuran como tipo de ausencia “justificante médico”, usted manifestó que tuvo una “(…) “y luego”, referido al segundo período, una “(…)”, constando así en la columna de “motivo”. La carta finaliza: “Habiendo considerado sus respuestas, en esta ocasión se le otorga el beneficio de la duda y no se tomarán acciones.”, recordando el cumplimiento de las políticas de la empresa y sus procedimientos, y que se va a seguir verificando cualquier asunto relacionado con su asistencia. Considera la reclamante:
  3. a)Que la responsable que le tomó declaración compartió información con la “responsable europea”, la persona que firma en la carta como “***PUESTO.1 de la compañía, haciendo uso de datos confidenciales que nunca han sido puestos en su conocimiento por mi parte, y a los que por tanto carece de acceso”, se ha revelado un secreto. “Al empleador no se le puede informar de los resultados de las pruebas médicas de sus trabajadores, mucho menos ostenta derecho el representante de la empresa a su difusión si ha tenido conocimiento de los mismos.”
  4. b)“Dicha comunicación firmada por … ha sido recibida por otros trabajadores de otras bases de la empresa Ryanair…”. SEGUNDO: Con fecha 13/01/2022, figura la remisión de la reclamación a la DPC, a través del formulario “IMI; INTERNAL MARKET INFORMATION SYSTEM”, artículo 61 del RGPD. TERCERO: Con fecha 17/01/2022, se comunica a la reclamante “acuerdo de remisión y archivo provisional”: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/33 - “Teniendo en cuenta el carácter transfronterizo de la reclamación y dado que RYANAIR D.A.C. tiene su establecimiento principal o único en Irlanda, corresponde a la autoridad de protección de datos de ese Estado actuar como autoridad de control principal, a tenor de lo dispuesto en el artículo 56.1 del RGPD. - Por ello, de conformidad con el artículo 66 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales, la Directora de la Agencia Española de Protección de Datos ACUERDA: PRIMERO: Remitir la reclamación presentada a la autoridad de control de Irlanda, a fin de que por la misma se le dé el curso oportuno. SEGUNDO: Proceder al archivo provisional del procedimiento” Con fecha 17/03/2022 se le informa a la reclamante que la DPC acusa recibo del traslado y se le envía la carta de dicha autoridad. En la carta le informan entre otras circunstancias que, si ha intercambiado escritos con el responsable del tratamiento y no está su documentación incluida, debe enviarla a la DPC para que su reclamación progrese en la valoración. CUARTO: La reclamante interpone recurso de reposición frente al citado archivo provisional, el 2/02/2022, exponiendo: -Tanto la empleada que la tomó declaración, supervisora base de Madrid, como la que firma la carta recibida el ***FECHA.1, procedente de Dublín, firmada por la “***PUESTO.1”, residen en Madrid “donde prestan sus servicios laborales”. -Dos direcciones de RYANAIR, una la de su domicilio del centro de trabajo en el aeropuerto, otra un domicilio social de Girona, añadiendo que ·el establecimiento responsable de cara a las relaciones laborales españolas de los trabajadores que prestan servicios en España es RYANAIR DAC OFICINA REPRESENTACIÓN EN ESPAÑA, CIF, W0071513F, considerando autoridad de control competente la AEPD, no la irlandesa. Apoya esta tesis en el Reglamento de la Comisión Europea 8/2008 sobre los procedimientos administrativos comunes aplicables al transporte comercial por avión, que define las bases, que se entienden como el lugar de prestación de servicios, que es el lugar donde el tripulante empieza y comienza su jornada, agregando que la actividad de un miembro tripulante de cabina en el marco de una prestación de servicios de transporte aéreo de pasajeros o mercancías sea una actividad realizada en el Estado miembro en el que se encuentre la base Con fecha 17/03/2022, la AEPD le comunica a la reclamante que la “Data Protection Commission” (DPC) confirma la recepción de la reclamación y que se ha remitido para su análisis, el cual incluirá determinar si la autoridad irlandesa es principal o confirmar que la reclamación tiene carácter transfronterizo. Con fecha 8/08/2022, la Directora de la AEPD resuelve desestimar el recurso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/33 QUINTO: Con fecha 16/06/2022, figura la entrada de un escrito de la “Data Protection Commission” señalando el artículo 56.2 del RGPD como aplicable, indicando que es un caso de carácter local y ha de tramitarse por la AEPD, añadiéndose: “1. Si bien el principal establecimiento de Ryanair está en Irlanda, hay establecimiento en España. 2. El caso se refiere específicamente a los datos personales de un ex empleado del establecimiento de Ryanair en España (y el asunto se refiere específicamente a una oficina de RYANAIR en Avenida de la Hispanidad s/n, C.P. 28042, Terminal 1 del Aeropuerto Adolfo Suárez-Madrid Barajas [y establecida en Calle Emili Grahit, nº 1-b y Código Postal 17002 del Ayuntamiento de Girona], y las actividades de un “manager” que trabaja en su base de supervisión de Madrid); 3. El tratamiento en cuestión parece tener un efecto sustancial en una titular de los datos en un país (España), y los asuntos del titular de los datos son muy específicamente relacionados con su empleo anterior como en el caso de Ryanair establecimiento en España.” SEXTO: Con fecha 23/09/2022, la Directora de la AEPD, acuerda: “1-Admitir a trámite la reclamación formulada el 15/11/2021.” Figuran los argumentos de la DPC de 16/06/2022. SÉPTIMO: Realizada una búsqueda en el Registro Mercantil de la entidad: “RYANAIR DAC OFICINA REPRESENTACIÓN ESPAÑA” tanto por nombre, como con NIF W0071513F, no figura anotación. En la aplicación “AXESOR monitoriza”, se obtiene el 24/05/2023 un informe en el que consta activa desde 2010, “otras formas jurídicas”, con el código de clasificación nacional de actividades económicas (CNAE) “actividades anexas al transporte aéreo”, “aeropuertos y aeródromos”. No figura cifra alguna sobre ningún aspecto. También se efectúa búsqueda en el Registro Mercantil de la empresa RYANAIR DAC, y por NIF, sin que figuren datos. La página https://es.marketscreener.com/cotizacion/accion/RYANAIR-HOLDINGS-PLC1412410/empresa/ señala que RYANAIR HOLDINGS PLC es una compañía aérea con 97 millones de pasajeros transportados en 2020/21, a finales de 2022 el grupo contaba con una flota de 500 aviones, con 19.116 empleados, y en ventas por actividad, RYANAIR DAC obtuvo en 2022, 4.764 MILLONES DE EUROS. OCTAVO: Con fecha 23/06/2023, la Directora de la AEPD acordó: “INICIAR PROCEDIMIENTO SANCIONADOR a RYANAIR DAC OFICINA REPRESENTACIÓN ESPAÑA con CIF/NIF W0071513F, por la presunta infracción del RGPD, artículos: -artículo 5.1
  5. c)del RGPD, de conformidad con el artículo 83.5.
  6. a)del RGPD, tipificada a efectos de prescripción como muy grave en el artículo 72.1.
  7. a)de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/33 -artículo 5.1.
  8. f)del RGPD, de conformidad con el artículo 83.5.
  9. a)del RGPD, y a efectos de prescripción, tipificada como muy grave, según el artículo 72.1
  10. a)de la LOPDGDD. -artículo 32 del RGPD, de conformidad con el artículo 83.4.
  11. a)del RGPD, y a efectos de prescripción, tipificada como grave, según el artículo 73.
  12. f)de la LOPDGDD.” “a los efectos previstos en el art. 64.2
  13. b)de la ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, las sanciones que pudiera corresponder, sin perjuicio de lo que resulte de la instrucción, serían de multas administrativas con las siguientes cuantías: -artículo 5.1.
  14. c)del RGPD, con una multa administrativa de 60.000 euros. -artículo 5.1.
  15. f)del RGPD, con una multa administrativa de 25.000 euros. -artículo 32 del RGPD, con una multa administrativa de 10.000 euros.” El acuerdo de inicio fue aceptado el 26/06/2023, según certificado que obra en el expediente. NOVENO: Con fecha 17/07/2023, se reciben alegaciones que presenta la reclamada, en las que las manifestaciones portan el logo de RYANAIR, oficina de Dublín, Irlanda, indicando: 1) Manifiesta que la reclamante tuvo numerosas ausencias en 2021, y su “supervisor de base”(SB en lo sucesivo) le envió una invitación a una reunión por correo electrónico. La reunión se celebró el 15/06/2021, “el supervisor de base y la demandante habrían discutido el motivo de estas ausencias. En este contexto, el supervisor de base sería el supervisor inmediato de la demandante, responsable de la elaboración de la lista de turnos, pero no de tomar decisiones disciplinarias”. ”La nota escrita de la reunión del 15/06 habría sido entregada por el supervisor base a la ***PUESTO.2 (***PUESTO.2 en lo sucesivo) que si tenía dicha autoridad para tomar decisiones disciplinarias para el personal de varias bases de RYANAIR como la de Madrid.” La ***PUESTO.2, Sra. B.B.B. “redactó una carta dirigida a la denunciante en la que se exponían los motivos de ausencia que la denunciante había facilitado y la decisión de no adoptar ninguna medida disciplinaria en este caso”. Dado que la ***PUESTO.2 se iba de vacaciones, facilitó la carta a otro ***PUESTO.2, C.C.C., (que desempeñaba las mismas funciones que aquella con la misma autoridad para tomar decisiones disciplinarias en relación con el personal de otras bases de Ryanair) que aceptó intervenir, “y cargó la carta destinada al demandante en el sistema “***APP.1” el ***FECHA.1”. “Sin embargo, el ***PUESTO.2 seleccionó accidentalmente los nombres de 50 empleados como destinatarios de la carta, al seleccionar por error una casilla que marcaba todos los “(...)” de esa página. El Sr. C.C.C. fue informado del error por otro directivo, a quien se lo comunicó un empleado que había recibido y consultado la carta. Eliminó el acceso a la carta inmediatamente a la mañana siguiente, el ***FECHA.2, 17 horas después de que se cargara en “***APP.1”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/33 Manifiesta que “50 empleados eran destinatarios de la carta, pero sólo 21 personas la vieron.” Aporta DOCUMENTO 1, que es un listado Excel donde constan de las personas a las que se envió la carta, los que accedieron a ella, constando el registro de fecha y hora, que van desde el ***FECHA.1 al ***FECHA.2. La primera hora serian 16:42 del ***FECHA.1, la última del ***FECHA.2: 7:47. El resto de las personas, figuran con “la carta no ha sido abierta”, incluyendo el compañero de la reclamante. 2) Continúa indicando que como responsable de protección de datos de RYANAIR, “no tuve conocimiento de esta infracción hasta el 17/11/2021, cuando la denunciante planteó la cuestión en el contexto de una reunión de investigación con su Supervisor de Base en relación con nuevas ausencias. Informé del incumplimiento al DPC de Irlanda el 19/11/2021”. Aporta DOCUMENTO 2, de fecha 19/11/2021, NOTIFICANDO UNA BRECHA DE DATOS PERSONALES AL DPC, figurando el formulario, del que cabe destacar: -RYANAIR DAC, dirección en Dublín, que indica ser el responsable de la protección de datos, -Afecta a interesados en más de un Estado miembro, o se relaciona con el tratamiento de actividades de tratamiento en más de un Estado miembro. -Concierne al tratamiento de datos personales que tienen lugar en el contexto de actividades de un establecimiento de un responsable en la Unión, pero que afecta sustancialmente o es probable que afecte sustancialmente a personas en más de un Estado miembro. -El estado miembro en el que las personas son afectadas sustancial o probablemente sustantivamente afectados: España. -Se le cuestiona si es la DPC competente para tratar la notificación y señala que “Notifica en representación del responsable del tratamiento cuyo principal establecimiento o único, se halla en Irlanda.” -En el apartado para que explique el motivo por el que considera que la organización es el establecimiento principal, incluyendo si es la sede central en la UE y es el lugar en el que se toman las decisiones en los fines y los medios del tratamiento de datos personales, contesta que “la brecha se relaciona con el tratamiento de miembros de cabina de RYANAIR. Todos los datos de los miembros de cabina son controlados por RYANAIR DAC establecida en Irlanda, siendo el lugar en el que se halla la sede central de administración en la UE y donde se toman las decisiones de los fines y los medios en el tratamiento y bajo el control de RYANAIR DAC.” -En el apartado de sí conoce la fecha en que se inició la brecha, señala ***FECHA.1, y en la que finalizó, el ***FECHA.2. -En la respuesta al motivo por el que notifica la brecha a la DPC transcurridas las 72 horas después de haberse enterado, explica como razones, que el ***FECHA.2, uno de nuestros Inflight Manager fue notificado por una persona, miembro de tripulación que había C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/33 recibido una carta dirigida a otra persona, también miembro de tripulación a través de la plataforma interna de comunicación “***APP.1”. Esto se escaló a la persona que había enviado la carta para que corrigiera el error, el cual corrigió, quitando la carta, pero no reportó la brecha al departamento ni al DPD, siendo un descuido del empleado en reconocer sus obligaciones adicionales del RGPD para escalar el hecho, de acuerdo con el procedimiento de notificación de violación de datos de RYANAIR y la formación en el RGPD. -En: “describa como sucedió la brecha”, figura que utilizan un portal interno online llamado “***APP.1” al que acceden (…). Todos los miembros de la tripulación de vuelo deben usarlo para el trabajo, se usa para enviar notas y boletines que no contienen datos personales. En algunos casos se utiliza para enviar correspondencia relacionada con asuntos de recursos humanos. En este caso, la interesada estaba involucrada en una investigación relacionada con su registro de asistencia. Se celebró una reunión de investigación sobre este asunto el 15/06/2021 y el ***FECHA.1 a las 17:23 horas, (hora española), se envió al interesado una carta que contenía un resumen de dicha reunión, incluyendo detalles específicos de motivos de salud que justificaron sus diversas ausencias. En lugar de enviar la carta únicamente al interesado en “***APP.1”, la carta fue enviada a otros 50 miembros de la tripulación de Ryanair. Esto ocurrió debido al “resaltado inadvertido de los nombres de los destinatarios en la primera página de la portada por el empleado que envió la carta”. Indica que de los 21 destinatarios que abrieron la carta, eran todo tripulantes de cabina de vuelo extendido por 15 bases distintas de Ryanair en España, Italia, UK, Grecia y Portugal. -También se indica que se contactó con la afectada explicándole lo sucedido, y con las personas que abrieron la carta para informarles del error, si bien indica que “No habrían podido imprimir ni reenviar la carta (a menos que hubieran tomado una captura de pantalla)”. -Al empleado que envió la carta, se le ha recordado la verificación de destinatarios en todas las comunicaciones y el cuidado para revisarlos antes y después del envío, así como envío de emails a los directores recordándoles eso. También están analizando la posibilidad de protección opcional con password para ciertos documentos en “***APP.1” y una ventana emergente con aviso. La DPC acusó recibo el 23/11/2021, y posteriormente cerró la investigación sobre el incumplimiento el 2/02/2022 (número de referencia ***REFERENCIA.1). Aporta DOCUMENTO que consiste en un email en el que indica que con la información proporcionada y las acciones que han sido tomadas del caso enviado el 19/11/2021, ha concluido, recuerda la importancia de la revisión de correspondencia. También de que la autoridad se reserva la potestad de reabrir el caso para reexaminarlo o como parte de una investigación que pueda acabar en medidas correctivas, y le recuerda el deber de implementar medias técnicas y organizativas apropiadas para garantizar la seguridad de los datos. 3) Aporta en su punto 3 de alegaciones, un cuadro resumen de las fechas relacionadas con la denuncia, en la que destaca que a la reclamante, la reclamada le trasladó el 19/11/2021 información sobre que RYANAIR había comunicado la brecha de datos personales a la DPC, aportando copia del envío de la misma por “***APP.1” en documento 4 y 5. En la carta le informa que se eliminó la cuenta de “***APP.1” el ***FECHA.2, así como que también se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/33 envió a otros destinatarios no deseados y que se pusieron en contacto con los destinatarios para pedirles que no compartieran la misma, y del traslado a la DPC. Asimismo, en documento 6, envía un escrito a la reclamante el 4/02/2022, informándole que han implementado medidas de seguridad adicionales y que el caso ha sido cerrado por la DPC irlandesa, así como su derecho a presentar una reclamación ante una autoridad de control. -En el apartado 4 de sus alegaciones, titulado: ”Ventanilla única para el tratamiento transfronterizo con arreglo al artículo 56, apartado 1”, manifiesta que el GRUPO RYANAIR tiene su sede en Dublín, y “RYANAIR DAC situada en Irlanda, en relación con las actividades transfronterizas de tratamiento de datos es el establecimiento principal, ya que es el lugar de administración central para las actividades de tratamiento de datos del Grupo. También es el responsable del tratamiento de los datos personales de los empleados y clientes de todo el grupo.” “Asesoro y apoyo a todas las entidades del Grupo Ryanair sobre el cumplimiento del procesamiento de datos. Las funciones legales y de RRHH del grupo también están empleadas por RYANAIR DAC y ubicadas en Irlanda. Dado que RYANAIR DAC en Irlanda es el principal establecimiento del Grupo a efectos de tratamiento de datos y RYANAIR DAC es el responsable del tratamiento de datos de las actividades de tratamiento de datos de empleados y clientes del Grupo Ryanair, que ha designado a la DPC como su autoridad de control principal para las actividades de tratamiento transfronterizo de conformidad con el artículo 56.1 y.6 del RGPD, establece que la autoridad de control principal será el único interlocutor para el tratamiento transfronterizo realizado por el responsable del tratamiento, que en este caso es RYANAIR DAC.” “el tratamiento de datos objeto de la presente reclamación es el proceso de Ryanair para comunicarse con los empleados en relación con cuestiones disciplinarias, incluidas las ausencias, y las medidas de seguridad de su sistema de comunicación interna, “***APP.1”. Las decisiones en relación con los procesos disciplinarios y de comunicación laboral y, en general, en relación con los datos de los empleados son tomadas por el DAC de Ryanair desde Irlanda, o revisadas y aprobadas por él, y afectan a todos los empleados de Ryanair de la UE que utilizan el sistema “***APP.1”. “El hecho de que la administración central para el tratamiento de datos relacionados con los empleados tenga su sede en Irlanda queda demostrado por el hecho de que, después de que se me notificara esta infracción en noviembre de 2021, Ryanair decidió introducir cambios en sus procesos de comunicación laboral. Estas decisiones fueron tomadas por personal del DAC de Ryanair en Irlanda y aplicadas en todo el grupo, afectando a empleados de múltiples Estados miembros en los que opera Ryanair. Estas medidas correctoras se describen con más detalle en los apartados (…). “No está claro cómo esta reclamación no es un asunto transfronterizo cuando Ryanair ya informó de la infracción subyacente al DPC el 19/11/2021, explicando la naturaleza transfronteriza”. La DPC no cuestionó esta posición y la investigación sobre esta infracción fue posteriormente cerrada por dicha autoridad el 2/02/2022 (aunque observamos que la DPC se reserva el derecho de reabrir su examen del caso como parte de una indagación, investigación o auditoría, o cualquier otra acción que pueda dar lugar a medidas correctivas). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/33 En el correo electrónico enviado por la DPC al DAC de Ryanair el 2/02/2022, se realizaban recomendaciones a Ryanair. Siguiendo sus instrucciones, Ryanair impartió formación específica. “En ningún momento la reclamante informó a Ryanair de que ya había presentado una reclamación ante la AEPD, ni informó a la AEPD de sus comunicaciones con Ryanair.“ “En términos del artículo 56, apartado 2, no estamos de acuerdo con que esta reclamación se refiera únicamente a un establecimiento en su Estado miembro o afecte sustancialmente a interesados únicamente en su Estado miembro". “Esta reclamación se presentó contra RYANAIR DAC, los empleados implicados son todos empleados de RYANAIR DAC, aunque con sede en diferentes países de la UE, la infracción fue notificada por RYANAIR DAC al DPC, las medidas correctoras fueron empleadas por RYANAIR DAC y afectaron a todos los empleados de Ryanair y si el DPC o la AEPD sancionaran a Ryanair, sería RYANAIR DAC la que tendría que cumplir dichas sanciones, ya que solo ella puede realizar cambios en los procesos y sistemas implicados en esta infracción y reclamación.” “La Oficina de Representación española de Ryanair no es relevante para esta infracción o reclamación. Esta "Oficina de Representación” no emplea personal, ni tiene poder de decisión ni realiza actividades relacionadas con el tratamiento de datos de los empleados. Se creó únicamente para cumplir con los requisitos legales de tener un punto de contacto u "Oficina de Representación” para asuntos fiscales y laborales, es decir, es sólo una dirección para recibir notificaciones. Por lo tanto, la Oficina de Representación española no es un establecimiento de Ryanair, ya que no ejerce ninguna actividad (véase la descripción de "establecimiento” en el considerando 225) y esta infracción y reclamación se refieren a un único establecimiento, que es Ryanair DAC. Tampoco es exacto decir que sólo se vieron afectados los interesados de España. La violación, la respuesta a la violación y la denuncia afectaron a interesados de más de un Estado miembro, no sólo de España. La violación dio lugar a que varios empleados en múltiples Estados miembros pudieran acceder a la información sanitaria del denunciante en una carta mal dirigida. El riesgo asociado a la violación no era particular de España. Simplemente ocurría que el interesado era español. El uso del sistema “***APP.1” fue la causa de la violación y el contenido de la carta fue la base de la denuncia, lo que significa que estos problemas podrían haber ocurrido a un miembro de la tripulación de cualquier país de la UE. Si “***APP.1” fuera un sistema que sólo se utilizara en España y la reclamación se refiriera al contenido de una carta que sólo era necesaria para cumplir la legislación española, podría decirse que las actividades de tratamiento afectan sustancialmente a los interesados sólo en España, pero no es éste el caso. Los cambios que Ryanair introdujo en sus procesos de comunicación disciplinaria laboral y en las medidas de seguridad del sistema “***APP.1” (que utilizan todos los tripulantes de cabina de Ryanair en toda la UE) fueron determinados por empleados de Ryanair DAC en Irlanda. De hecho, todas las decisiones sobre el tratamiento de datos de empleados y clientes son tomadas por personal de Protección de Datos, Jurídico, de RRHH y otro personal con sede en Irlanda.” Sería incongruente que dichos procesos y sistemas fueran objeto de revisión y, en última instancia, de ejecución por parte de la AEPD cuando la AEPD consideró que se trataba de un asunto transfronterizo cuando lo recibió y lo envió al DPC, por lo que el DPC es la autoridad de control principal para todos los asuntos de tratamiento transfronterizo de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/33 Ryanair. El DPC ya ha participado en una revisión de este asunto como parte de la investigación de la infracción y debe ser el "único interlocutor” de dicho tratamiento transfronterizo con arreglo al artículo 56, apartado 6, del RGPD.” -En el punto 5 de las alegaciones, se manifiesta que la continuación del procedimiento y ejecución contra RYANAIR DAC, no contiene las garantía que indica el artículo 58.4 del RGPD. Sería injusto e inadecuado que una autoridad de control distinta se pronunciara y tratara de hacer cumplir a RYANAIR DAC el mismo patrón de hechos que fue objeto de una investigación previa de infracción por parte del DPC como autoridad de control principal. Esto socavaría el objetivo del procedimiento de "ventanilla única” del artículo 56 del RGPD, el derecho a las garantías procesales del artículo 58.4 y el principio “non bis idem”. “A lo largo del proceso, ha habido una ausencia de divulgación y RYANAIR no ha podido demostrar su posición”. Estima que cuando el 16/06/2022, la DPC notificó a la AEPD que “declinaba revisar la reclamación basándose en que se trataba de un caso local, no tenía conocimiento completo del asunto”, sin que tuviera una buena compresión de las circunstancias de la reclamación, ni en cuenta factores que demuestran que se trata de una reclamación transfronteriza. Manifiestan que: “Nos hemos puesto en contacto con el DPC para explicarle la situación y le hemos pedido que revise su decisión anterior de que esta queja es un asunto exclusivamente local. Se ha enviado una copia de esta carta al DPC.“ Si se impusiera sanción a RYANAIR, se vulneraría el principio de non bis in ídem, con base en el artículo 25 de la Constitución Española, y el artículo 50 de la Carta de los Derechos Fundamentales de la UE, pues “cuando una autoridad competente de control ha investigado unos hechos, y ha decidido no imponer sanción, no es posible que otra sancione a la misma persona por los mismos hechos, e incluso estar sometido a un segundo procedimiento sancionador después de no haber sido sancionado en el primero”. Argumentan además que la imposición de dos multas separadas de 10 mil y 25 mil euros por la misma infracción de los artículos 5.1f) y 32 del RGPD en relación con las medidas técnicas y organizativas de “***APP.1” supone un incumplimiento del principio “non bis in ídem”. -En su punto 6 de sus alegaciones, indica que “No está de acuerdo en que se hayan incumplido los principios de minimización de datos cuando el Director de la base Europea (***PUESTO.2) incluyó datos sanitarios sensibles facilitados por el denunciante en una carta dirigida a éste, ya que esta información funcionaba como un registro de la respuesta del denunciante a ausencias inexplicadas, funcionaba como la base de decisión adoptada y se limitaba a lo necesario para el fin concreto, cuando el órgano decisorio del asunto era el ***PUESTO.2, por lo que compartir la información era necesario para que se evaluara si la denunciante tenía razones válidas que pudieran acreditar las ausencias y determinar si se tomaba o no alguna medida disciplinaria También se opone a la afirmación de que “a la misma finalidad a la que se llega en la carta podría haberse obtenido sin recabar los citados datos de salud”, y que “no hubiera sido necesario incorporar los datos e información aportados por el reclamante en la entrevista” “Era necesario que el Director de la Base Europea comprendiera la detallada información sanitaria facilitada por la demandante al Supervisor de la Base como explicación de sus ausencias. También era necesario y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/33 pertinente que esta información sanitaria se incluyera en la carta a la reclamante, de modo que la carta fuera una "historia de los hechos” que permitiera a la reclamante comprender plenamente el fundamento de la decisión”. -“RYANAIR no tiene convenios colectivos, basándose en sus propios procedimientos disciplinarios internos para abordar las ausencias no autorizadas.” ”El procedimiento disciplinario exige que, antes de tomar ninguna medida, se lleve a cabo una fase de investigación, con una o más reuniones en las que el empleado pueda explicar su versión de los hechos y presentar cualquier información pertinente”. 4-No está de acuerdo en que se hayan incumplido las medidas técnicas y organizativas, ya que las medidas de seguridad de “***APP.1” eran adecuadas al riesgo del tratamiento en ese momento. El sistema de comunicación “***APP.1” es un canal seguro, y la carta se envió sin la opción de poderse imprimir. El hecho se produjo, al “realzar accidentalmente los nombres de los destinatarios, todos con el apellido empezando por la letra A”. Después de los hechos, se introdujo una “ventana emergente para notificar a los remitentes que un documento se está enviando a varios destinatarios, con el fin de reducir la probabilidad de que se repita este tipo de infracción“. -Como medidas correctoras en el punto 6.14 señala:  La puesta en contacto con empleados que habían recibido la carta por error para informarles del error, y que debían mantener la confidencia.  Se puso en contacto con los responsables de bases europeas para recordarles la importancia de notificar al responsable cualquier violación de los datos.  Organización de formación con los directores regionales y de bases europeas sobre la importancia de salvaguardar la información sensible de los empleados.  Introducir advertencias antes de cargar una comunicación.  Comunicación con la reclamante.  Después de la infracción, y tras recibir información adicional, RYANAIR también revisó sus procesos para la inclusión de información detallada en las cartas de resultados a todos los empleados sobre cuestiones disciplinarias. Aunque Ryanair mantiene que dicha información permite al empleado impugnar cualquier decisión disciplinaria, se consideró que la información detallada sobre la base de la decisión se conservaría en una nota de expediente que el empleado podría solicitar si deseaba impugnar la carta de resultados. En cambio, la carta que se envíe al empleado sólo contendrá los detalles de la sanción impuesta, incluida una advertencia. -En su punto 7, alega sobre la cuantía de las multas, considerando que la imposición de 95.000 euros de multa es injusta y desproporcionada, contraria al artículo 83 del RGPD, no habiéndose tenido en cuenta ningún factor atenuante. Concreta que no procedería la aplicación del artículo 83.2.
  16. a)del RGPD como agravante, sino que debe tomarse como atenuante, pues “solo hubo un interesado afectado que no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/33 planteó la reclamación internamente hasta más de tres meses después de tener conocimiento de la violación, incluso después de haber presentado una reclamación ante la AEPD.” Tampoco con la aplicación del artículo 83.2.
  17. b)del RGPD, al tratarse de un aislado error humano, que se corrigió en un plazo de 17 horas, y se abordó modificando procesos. No están de acuerdo con la “falta de diligencia” sea un agravante, pues la herramienta “***APP.1” es segura, tratándose de un error aislado. No se han tenido en cuenta las medidas adoptadas para mitigar los daños sufridos por la reclamante, la retirada de la carta, “y las comunicaciones a destinatarios no previstos, cuyos detalles se han puesto de manifiesto”. No tienen ninguna infracción anterior. Se cooperó con la DPC en la infracción denunciada y se “adoptaron medidas correctoras inmediatamente, incluso antes de que recibiéramos una respuesta del DPC”. No se muestran de acuerdo en la agravante del artículo 83.2.
  18. g)del RGPD, aunque reconoce que se contenían datos de salud, las referencias son a ausencias del trabajo “y menciones indirectas y genéricas de situaciones relacionadas con la salud facilitadas a Ryanair por la reclamante en el curso de la investigación”. La inclusión de esos datos pretendía “beneficiar a los empleados durante la investigación, permitiendo identificar información específica sobre la que se toma una decisión”. Como resultado, se han variado el contenido de las cartas similares. Solicita se aplica la atenuante del 83.2.h), pues en cuanto RYANAIR tuvo conocimiento lo comunicó a la DPC. Finalmente, solicita acogerse al 83.2.
  19. k)del RGPD por “ausencia de beneficios económicos como consecuencia de las presuntas infracciones.” Adicionalmente. solicita que se remita la reclamación a la DPC, suspendiendo el procedimiento por ser la DPC la autoridad de supervisión principal y competente para el examen de la reclamación. Solicita como prueba, dirigir petición a la DPC a fin de que confirme si llevó a cabo una investigación y ya tomó alguna decisión bajo la referencia asignada ***REFERENCIA.1, y de ser así, si la DPC decidió no imponer ninguna sanción a RYANAIR. DÉCIMO: Con fecha 5/03/2024, “se acuerda abrir período de práctica de pruebas, según lo dispuesto en el artículo 77 y 78 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP)”, practicando las siguientes: 1. Se dan por reproducidos a efectos probatorios la reclamación interpuesta por la reclamante y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, que forman parte del procedimiento AT/03900/2022. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/33 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por RYANAIR DAC OFICINA REPRESENTACIÓN ESPAÑA, y la documentación que a ellas acompaña. Además, se solicita a la reclamada, que aporte: 3. Copia del escrito que la reclamada dirigió a la reclamante para que acudiera a la cita de 15/06/2021. Tras obtener una ampliación de plazo para responder, la reclamada en fecha 9/04/2024, manifestó que se aporta en documento 1, impresión de pantalla de sistemas internos, sin el literal de la convocatoria, mero apunte informático de la fijación de la reunión. 4-Copia de la hoja de preguntas realizadas por la Supervisora de Base (categoría profesional que ostenta y funciones en la entidad) y respuestas que proporcionó la reclamante y se recogieron en el escrito que luego se traslada a la ***PUESTO.2 (denominación del puesto o categoría que ostenta esta persona y funciones en la entidad). Aporta documento 2, en el que anexa tabla de registro de ausencias en los últimos doce meses /43 días, 6 ocasiones/, y otra tabla de fechas de ausencia/tipo de ausencia/motivo proporcionado, desde 17/06/2020 a 3/06/2021, que coincide en su forma y contenido a la que constaba enviada al reclamante objeto de esta reclamación. Otra tabla desagrega en detalle por día, apreciándose el mismo período, con todas las ausencias con certificado médico, excepto las de 11 a 30/07/202, y en esta no figura motivo proporcionado. En la transcripción de las preguntas, que también acompaña, se inicia indicando que el motivo de la reunión es para repasar su asistencia en los últimos 12 meses, le indica que ha estado “ausente del trabajo en seis ocasiones” “y que todas han sido justificadas, excepto una que figura la mitad sin autorizar, referida al período 17/06 al 30/07/2020”, respondiendo la reclamante que deberían estar justificadas y estuvo en contacto con recursos humanos, y deberían cambiarse, se pondrá en contacto de nuevo con recursos humanos. Después, le dice la entrevistadora, que el 3/11/2020, figura enfermedad, y lo justificó, y le pregunta si recuerda que le pasó, respondiendo que “comencé un (…) que debí haber hecho en varias sesiones y ese día fue el primero”. Lo mismo le pregunta sobre otras dos fechas, respondiendo que fueron la segunda y tercera sesión, aunque en noviembre 2020, solo le consta en el registro el 3 y el 18/11/2020. En el mismo sentido, figura enfermedad y lo justificó, se le pregunta sobre la ausencia de 19/01/2021, respuesta “Estuve (...) creo que como (...)”, también se pregunta por las ausencias de enfermedad y justificada de las fechas 18/03/2021, respondiendo que tuvo una (...), y en las de 1 a 3/06/2021, respondió que tuvo (...) y una (...). Se aprecia por el instructor que todas ellas figuraban como “justificadas”. Finaliza indicando que “Las notas tomadas se enviarán a tu EBM y a tu “agency personnnel officer”, que podrán solicitarte o invitarte “to DUB” para una reunión. “Se te notificará por escrito”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/33 Señala la reclamada, que la Supervisora Base de Madrid que hizo la entrevista trasladó el contenido de la reunión a la ***PUESTO.2. 5-En el procedimiento disciplinario aplicable, y en este caso en concreto, para control horario, con revisión de justificantes por enfermedad, informar quien ha aprobado el procedimiento, y quien lo aplica y gestiona, también con referencia a la categoría de personal, y a que entidad pertenecen. También informen si es aplicable a cualquier personal de tripulación de cabina, y en qué países, o de que bases depende este personal. Aportar copia del procedimiento. Indicar y aportar la parte en la que se prevé o habilita la toma de declaración para preguntar sobre asuntos de datos médicos con la posibilidad de efectuar tales cuestiones y la posibilidad que existe de que la haga el supervisor inmediato de base, y donde se prevé que luego traslade la toma de datos a la Dirección de Base Europea que toma la decisión. Especificación de la información previa que se le da a la trabajadora declarante, tanto en fase de investigación previa como para el procedimiento disciplinario en cuanto a la recogida de datos y derechos que le asisten. Sobre esta cuestión, la reclamada aporta DOCUMENTO 3, consistente en una copia del “Reglamento interno del procedimiento disciplinario” (RIPD) de RYANAIR, que, manifiestan, desarrolla “las previsiones en la materia incluidas en la “GUÍA DE TRABAJO DE RYANAIR”, conjunto de previsiones en general sobre la relación laboral de los empleados de RYANAIR con la compañía (extracto que aportan en DOCUMENTO 4) que recoge una serie de previsiones en general sobre la relación laboral de los empleados de RYANAIR con la compañía. En dicho documento 4 figura un apartado titulado: “FACTSHEET 3 AUSENCIAS DEL TRABAJO” en el que conviene destacar:  Se menciona el “registro de ausencias”, y se establece un procedimiento para cuando se produzca una ausencia inevitable, cuya principal obligación es avisar cuando no se pueda asistir por enfermedad, lesión o cualquier otro que no sea licencia etc., “tan pronto como tenga conocimiento”, y “al menos dos horas, antes del inicio de su jornada o turno de trabajo”. “No notificar a la compañía por teléfono de su ausencia de ese modo, resultara que la ausencia sea clasificada como no autorizada o presentada”. “Si la Compañía considera inaceptable el motivo de la ausencia, esta se clasificará y registrará como no autorizada.” “Debe presentar un formulario de autocertificación por escrito disponible en el sitio de intranet de la empresa y un certificado médico, si corresponde, el primer día de su ausencia, a menos que esté postrado en cama. Estos certificados deben indicar la naturaleza de su enfermedad y su fecha prevista de regreso al trabajo...” Manifiestan que el RIPD se incluye como un anexo en esta “Guía de trabajo”, que, además: -Fue aprobado por la dirección de la Compañía y se aplica por los Directores y Jefes del Departamento que corresponda, por ejemplo, el Departamento de “Inflight” respecto del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/33 personal de tripulación de cabina, y el departamento de “Flight operations” respecto de pilotos. Ello, conjuntamente con el departamento de Recursos Humanos de RYANAIR. - Entre las faltas disciplinarias que contempla, se hallan las faltas de asistencia y las bajas o ausencias no autorizadas. -“El procedimiento disciplinario exige que antes de tomar cualquier medida se produzca una fase de investigación con una o más reuniones en las que se convoca a la persona afectada para que explique su versión de los hechos y presente cualquier información relevante. En dichas reuniones, asiste su supervisor o director inmediato, pudiendo asistir también un miembro del departamento de personal, incluso un compañero o delegado sindical que designe la persona afectada”. -También prevé quiénes son los cargos competentes dentro de Ryanair para resolver e imponer las distintas sanciones, si se constata la infracción o falta en el trabajo, por ejemplo, especifica qué sanciones puede imponer el inmediato superior, el supervisor del empleado o bien el Director o el Jefe del Departamento. - “al tiempo de los hechos, el reglamento de procedimiento disciplinario se aplicaba a todo personal de tripulación de cabina de RYANAIR, y a sus pilotos, cualquiera que fuera el país donde se hallase su base. Esto es, se aplicaba -y aplica- no sólo para el personal de tripulación de cabina de RYANAIR con base en España, sino en todas las bases de RYANAIR (unas 84), situadas en 33 países, como Irlanda, España, Italia, Portugal, Grecia, Reino Unido, Polonia, Bélgica o Marruecos, entre otros.” Se accede a verificar el DOCUMENTO 3, copia del “Reglamento interno del procedimiento disciplinario” (RIPD) de RYANAIR, y se aprecia que el proceso disciplinario, “puede” incluir una o más reuniones de investigación, con su “supervisor o director inmediato” en las que se intentará establecer los hechos del caso. “Se le anima a que un compañero/a asista a estas reuniones con usted”. Entre las faltas que pueden sancionar, se hallan: falta de asistencia, baja/ausencia no autorizada. Manifiesta que: “El empleado encuentra información completa sobre el antedicho régimen disciplinario y su regulación, mediante la “Guía de Trabajo de Ryanair”. En concreto, puede hallar el propósito de las reuniones, la posibilidad de ser acompañado(
  20. a)por un compañero y representante sindical, las infracciones y posibles sanciones, así como el derecho a recurrir la sanción. -Manifiesta que “la Reclamante estaba sujeta a dicho reglamento de procedimiento disciplinario, en los términos recogidos de manera expresa en su contrato de trabajo”, aportan copia de DOCUMENTO nº 5 que, dentro de su contrato de trabajo, contiene la transcripción del documento “ausencias del trabajo” referido anteriormente, apreciándose que además se incluye la cláusula 14.2 que indica: “Asumiendo los costes, la compañía tendrá el derecho de requerirle que sea examinado por un profesional médico independiente a elección de la compañía en cualquier momento (tanto si está ausente por causa de enfermedad o lesión, o
  21. no)y usted acepta que el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/33 profesional médico que lleve a cabo el examen confirme a la compañía si esa capacitado para asistir al trabajo, de acuerdo con la legislación española”. También en el contrato de trabajo figura en el apartado 32, información sobre el procedimiento disciplinario. Manifiesta la reclamada que en el contrato existen diferentes cláusulas, una de ellas la 35, que informa del tratamiento de los datos de empleo de la empleada para establecer la evolución de las ausencias y gestionar el desempeño, mantener registros de las ausencias del personal, emprender acciones disciplinarias etcétera. Igualmente, en el contrato se incluye una cláusula que el tratamiento de sus datos en relación como empleada se lleva a cabo en su sede central, en Irlanda, siendo la DPC la autoridad supervisora principal del tratamiento transfronterizo de los datos personales. Visto el contrato de trabajo, apartado 35: “protección de datos” “se indica que se trataran para cualquier fin relacionado con el desempeño” del contrato, figurando un apéndice ampliatorio de protección de datos. En datos médicos que pueden recoger relacionados con el empleo, figura “certificados médicos, detalles de ausencias y bajas por enfermedad”. 6- En relación con el contenido de la carta enviada a la reclamante fechada el 28/07/2021, desde Dublín, decidiendo no sancionar, se solicitan las siguientes aclaraciones:  Por el período 17/06 a 30/07/2020, ¿qué información sobre la ausencia disponían antes de la entrevista?, motivo por el que, en su caso, de no haber justificante, tras la reunión, en “tipo de ausencia”, figura “certificado médico sin autorizar”. Responde que sobre ese período de ausencia en el trabajo “se detectó que el período de baja era incoherente no solo con el certificado médico facilitado por la reclamante sino con la información de la propia Seguridad Social. El certificado médico facilitado por la reclamante de 18/06/2020 no incluía una fecha para la siguiente revisión. Asimismo, según comunicación del Instituto Nacional de la Seguridad Social (INSS), a la reclamante le emitió el alta médica con fecha 7/07/2020”. Acompañan copia de documentos 6, copia de parte médico de confirmación de incapacidad temporal, ejemplar empresa, fecha del parte 18/06/2020, enfermedad común, y documento 7, con alta médica de 7/07/2020. Añade la reclamada que “No obstante, la reclamante estuvo ausente en el trabajo hasta el 30/07 siguiente, detectando este período de ausencia injustificada”.  Confirmen sí en la ausencia de 18/11/2020, si les figuraba antes de la entrevista justificante médico, ya que en tipo de ausencia figura “justificante médico”. Responde que, aunque en la carta enviada a la reclamante el 28/07/2021 se mencionaba justificante de enfermedad o justificado, se detectó que en realidad no era una baja médica como tal a partir precisamente del justificante que había presentado la reclamante antes de la entrevista. Se trataba simplemente de una cita para consulta para un tratamiento de (...) que no se incluye entre las razones previstas por la normativa laboral para una baja médica”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/33 Aportan documento 8 (en el que figura un justificante de “consulta en esta unidad”, y debajo “Unidad de (...)”, 18/11/2020 y los datos de la reclamante con el logo del hospital), “que era una cita y de ahí que se estimó que esta ausencia al trabajo tampoco sería una falta de asistencia justificada por baja médica por lo que era legítimo que formará parte de la investigación en el curso del procedimiento disciplinario”.  En las ausencias, en el cuadro, pone 19/01/2021, en el literal, debajo, figura: “Se le preguntó por su ausencia certificada de 19 de marzo.”, se le solicita a la reclamada si ese 19 de marzo es un error y se podría tratar de 19/01/2021 en vez de 19 de marzo, y al mismo tiempo, explique si ya constaba el certificado de dicha ausencia, y que fue lo que se preguntó sobre la misma. La reclamada manifiesta que es un error, indicando que “se le preguntó por la ausencia al trabajo el 19 de enero del 2021” al detectarse que la reclamante no había presentado un certificado médico o parte de baja realmente, sino un informe médico de 20/01/2021, en el que indicaba que estaba (...). Aportan documento número 9, documento médico “(...)”, fecha 20/01/2021. “Se estimó que esta ausencia al trabajo tampoco sería de una falta de asistencia justificada por baja médica, por lo que era legítimo que formara parte de la investigación en el curso del procedimiento disciplinario.”  En el mismo sentido, si ya disponían de justificante medico de ausencia de 8 a 18/03/2021, ¿qué fue lo que se le cuestionó a la reclamante? En general, se le solicita a la reclamada que informe los supuestos en que, si ya le constaba a la reclamada el certificado o se aportó en la reunión, motivo por el que se le pregunta a la reclamante, y se recogen además informaciones sobre las causas de la baja, extremo prohibido por la legislación aplicable. (En la carta figura “Cuando se te preguntó sobre tu baja certificada el 19 de Marzo, has contestado que estabas (...). Cuando se te preguntó sobre tus ausencias justificadas en los días 08-18 de Marzo y 1-3 de Junio, tu respuesta fue que te has ha sometido a una cirugía y que ha tenido una (...)”). También se le solicita que informe que sede y qué empleados pueden tener acceso a los justificantes de asistencia de los empleados. Respondió que, aunque en ese período la reclamante había aportado justificante médico que acreditaba la baja laboral, “se ejercía el derecho como en cualquier otra empresa, a tener cierto control sobre las bajas laborales en un estadio previo a lo que contempla el artículo 20.4 del Estatuto de los trabajadores y en el marco del procedimiento disciplinario antedicho.”, rezando el citado artículo: “el empresario podrá verificar el estado de salud del trabajador que sea alegado por éste para justificar sus faltas de asistencia al trabajo, mediante reconocimiento a cargo de personal médico. La negativa del trabajador a dichos reconocimientos podrá determinar la suspensión de los derechos económicos que pudieran existir a cargo del empresario y por dichas situaciones”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/33 “En este caso, antes de activar tal disposición- a lo que la empresa puede recurrir en casos de ausencias reiteradas al trabajo, máxime si algunas de ellas son injustificadassimplemente se optó por preguntar a la reclamante para valorar la decisión de si procedía pedir a la empleada que pasase por un reconocimiento por parte de un médico de empresa”. “La reclamante pudo haberse negado a responder, si bien dio respuestas de manera voluntaria” “Tras ello, se decidió que no era necesario realizar un reconocimiento médico”. Indica que “en aquella fecha la legislación en la materia era diferente a la actual, tras la última modificación del Real Decreto 625/2014, de 18/07, por el que se regulan determinados aspectos de la gestión y control de los procesos por incapacidad temporal en los primeros trescientos sesenta y cinco días de su declaración, que entró en vigor en abril de 2023. En aquel momento, los empleados tenían una copia de los certificados médicos, que debían remitir al empleador en el plazo de 3 días para el parte de baja y 24 horas para el parte de alta. Entonces, los empleados debían cumplir con esa obligación, enviando dicha documentación a ***APP.1 control/***APP.1 planning, esto es, los departamentos que asignan las tareas a los empleados (vuelos a los que están asignados, períodos de standby, etc.); y que por tanto verifican si la ausencia se halla justificada o no para reflejarla en los registros correspondientes. Normalmente, estos certificados se conservaban por estos mismos departamentos, salvo que tuvieran dudas acerca de los certificados, o bien otros departamentos de la empresa (Recursos Humanos, Inflight) tuvieran algún motivo legítimo para solicitarlos.” 7-Forma o procedimiento por el que los empleados como la reclamante, para justificar las ausencias como en este caso, por motivos médicos han de notificarlas, a ¿qué entidad? y en ¿qué ubicación se ha de enviar?, personas que intervienen, y documentos que se solicitan, y si se entrega copia de recibo de lo enviado. Manifestó que “Nos remitimos a lo expuesto en la respuesta anterior, acerca de la legislación vigente al tiempo de los hechos, y que difiere de la actual.” “Por aquel entonces, el empleado -miembro de tripulación de cabina- primero debía informar sobre su ausencia (para que la empresa pudiera saber si alguna (...) de vuelo quedaba con falta de personal), y luego enviar los partes de baja a los departamentos d***APP.1 control / ***APP.1 planning de RYANAIR, para justificar la ausencia. En el caso que nos ocupa, los documentos solicitados eran acordes con la legislación vigente del momento (partes de baja y de alta). Si una ausencia por razones de tipo médico no causaba realmente una “baja”, el empleado miembro de tripulación podía enviar un informe médico que cuando menos recomendase un tiempo de descanso. Nos remitimos también a las explicaciones que al respecto se pueden encontrar en la “Guía de Trabajo de Ryanair”. 8-Acreditación de la fecha y la hora en que es puesta la carta por el sistema “***APP.1” a todos los destinatarios. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/33 Manifiesta que ***FECHA.1 a las 17:23, eliminándose el ***FECHA.2 a las 10 h 20, lo mismo que se comunicó a la DPC, aunque no conservan hoy día registro documental. 9-Especificacion, aportando copia del escrito del origen que causa la notificación de la brecha a la DPC el 19/11/2021. Manifiestan que la reclamante no presentó ninguna reclamación formal por escrito a la delegada de Protección de Datos de Ryanair, y que esta tuvo conocimiento de la brecha el 17/11/2021, por información interna, después de que la reclamante planteó la cuestión en otra reunión con la Supervisora de Base, tres meses después de que se produjera la brecha. 10 -Usos principales del sistema “***APP.1” en relación con el personal de tripulación de cabina y que otros medios de comunicación disponen para ellos. Informen, además, si una vez leído el mensaje por el destinatario, se puede eliminar el archivo o el texto del mensaje por el administrador del sistema o por alguna persona que no sea el destinatario y desaparece de los buzones del destinatario como si no hubiera existido. Indiquen la seguridad con que cuenta el sistema “***APP.1” en cuanto al envío de datos personales. Respondió la reclamada que aparte de lo ya informado, añade que es un canal de comunicación a través del cual Ryanair envía comunicaciones a los tripulantes de cabina cuya lectura resulta obligatoria, estando disponible los documentos para usuarios autenticados y se asignan directamente a un usuario o equipo determinado. 11-Sobre el listado de personas a las que se envió la carta, a través de “***APP.1”, (hoja excel) motivo por el que no figura la reclamante en destinatarios en el listado, y motivo por el que el compañero de la reclamante que figura relacionado en el hecho primero del acuerdo de inicio, que le mandó el chat a la reclamante, revelándole que había accedido a la carta, que si figura en la lista, pero como persona que no la abrió (además días después, el mismo comprobó que ya no la tenía disponible en su buzón). Explique el motivo por el que figura que esta persona no ha abierto la carta en dicho listado, si fue la que se la envió a la reclamante. Respondió la reclamada que han detectado un error en la columna de nombres que figuraba en el listado de personas que acompañó como documento 1 adjunto con las alegaciones al acuerdo de inicio. En este fichero los ***APP.1 codes y la información acerca de si la comunicación fue abierta o no por los trabajadores asociados a dicho ***APP.1 codes siempre fue correcta, siendo incorrecta únicamente la columna con los nombres de los trabajadores que figuraban a continuación. Así, podemos confirmar que tanto la reclamante como su compañero recibieron y abrieron la mencionada comunicación tal y como se mostraba en dicho listado de personas que se adjuntó en nuestras alegaciones al acuerdo de inicio. Aportan el listado de personas con la corrección de errores como documento 10. En el mismo, figura que el ***APP.1 code de la persona que avisa a la reclamante, figura como notificado entre los 21 que lo fueron, en concreto, a las 17:39:51 del ***FECHA.1, y se indica la base de cada persona, tripulante de cabina junto al ***APP.1 code y su nombre y apellidos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/33 Abundan en que puede apreciarse que las personas a las que se envió la carta por error eran empleados de bases de Ryanair que se hallaban en varios países, según los códigos IATA de aeropuertos que aparecen en el listado por ejemplo ALF AGP MAD bases en España o bases en Italia CRL OBRIO, bases en Reino Unido STNO, bases en Grecia ATH, bases en Marruecos Fed RA considerando que redunda en el carácter de tratamiento transfronterizo. 12-En sus alegaciones, en el cuadro resumen de fechas clave, indican que la reclamante presentó reclamación en la AEPD el 15/11/2021 “sin adjuntar la correspondencia previa entre ella y RYANAIR”. Se le solicita que aporte dicha correspondencia. Respondió la reclamada que lo que querían considerar era que la reclamante, pese a tener perfecta oportunidad, no ha querido informar a la AEPD acerca de cómo la DPD le había informado de las medidas tomadas por RYANAIR ante la brecha, teniendo conocimiento de que se había remitido a la DPC y que esta cerró el caso. En alegaciones consta en documentos 4 a 7 el contacto con la reclamante de 19/11/2021 y de 4/02/2022. DÉCIMO PRIMERO: Junto a la respuesta a lo solicitado en pruebas, la reclamada manifestó: -Reitera la naturaleza transfronteriza del asunto y que la autoridad principal debería ser la DPC. -Considera difícil de cumplir cualquier requerimiento que se ordene por la AEPD con base en el RGPD, pues la responsabilidad de cualquier decisión relativa al tratamiento es RYANAIR DAC, y además la autoridad competente para tomar esas decisiones, sería la irlandesa. -La entidad a la que se ha abierto el procedimiento no es un establecimiento que tenga poder de decisión, ni realice actividades de tratamiento de datos de empleados de RYANAIR. Reproduce el contenido del considerando 22 del RGPD: “Un establecimiento implica el ejercicio de manera efectiva y real de una actividad a través de modalidades estables”. Para tramitar un asunto como autoridad local, esta debe confirmar que “existe establecimiento dentro de su ámbito de jurisdicción”, que “el asunto se refiera únicamente al establecimiento local”, y “que la conducta del responsable del tratamiento se refiera únicamente al tratamiento en esa jurisdicción “. El TJUE, sentencia de 1/10/205, C-230/14, ha señalado que un establecimiento requiere los medios necesarios para la prestación de los servicios concretos de los que se trate en el Estado miembro en cuestión, y el ejercicio de actividades en dicho Estado Miembro debe tener en cuenta las actividades económicas específicas y servicios prestados por el establecimiento. Cuando la AEPD envío a la DPC se refería a “Oficina de Representación en España” de RYANAIR DAC, no es relevante pues no tiene empleados, ni toma decisiones, ni lleva a cabo actividades de tratamiento de datos, sin personalidad jurídica, creada para cumplir con requisitos legales en materia fiscal y laboral, principalmente para recepción de notificaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/33 -La reclamación y hechos del procedimiento no se refieren únicamente a interesados españoles, su impacto sustancial no se limitaría solo a España, por lo que estima que no es un caso local, pues es probable que afecte o impacte en interesados en otros Estados miembros. El sistema ***APP.1 está gestionado por empleados en Irlanda y empleados de toda Europa lo utilizan. La supuesta violación de seguridad de los datos afectó a interesados de más de un Estado, los riesgos asociados a la supuesta violación de seguridad de los datos no se darían solo en España. “Si el sistema ***APP.1 sólo se utilizara en España y la reclamación se refiriera al contenido de una carta destinada sólo a una persona española y enviada sólo para cumplir la legislación española, las actividades de tratamiento afectarían sustancialmente a interesados sólo en España. Este no es el caso aquí.” “RYANAIR introdujo cambios en sus procesos de comunicación disciplinaria laboral y las medidas de seguridad del sistema ***APP.1 (que utilizan todos los tripulantes de RYANAIR en la UE), implantados a partir de las decisiones tomadas por empleados de RYANAIR en Irlanda. Todas las decisiones sobre el tratamiento de datos de empleados y clientes son tomadas por personal de Protección de Datos, Jurídico, RRHH y otro personal con sede en Irlanda”. Todos estos son elementos suficientes para determinar que la reclamación no corresponde con un asunto local en España. -RYANAIR comunicó a la AEPD en las alegaciones al acuerdo de inicio, que su sede central está en Dublín, que es el lugar de administración central para las actividades de tratamiento de datos del Grupo RYANAIR, siendo el responsable del tratamiento de los datos personales de todos los empleados del GRUPO RYANAIR, determinado de forma centralizada en Irlanda todas las cuestiones de recursos humanos del personal de tripulación que trabaja en toda Europa, transmitiéndose las decisiones por los gerentes y supervisores a todos los empleados de RYAIR en toda Europa. Tal es el caso de las cartas de sanción a empleados por asuntos disciplinarios, que son emitidas por los empleados de Recursos humanos en Dublín y enviadas al Director de la Base Europea correspondiente, que tiene “autoridad para tomar decisiones disciplinarias”. La DPC es la autoridad de control principal de RYANAIR para las actividades de tratamiento transfronterizo de conformidad con el artículo 56.1 del RGPD. El Artículo 56.6 del RGPD establece que la autoridad de control principal será el “único interlocutor" para el tratamiento transfronterizo realizado por el responsable del tratamiento “, en este caso RYANAIR DAC. -Se ha reabierto un asunto que ya ha sido investigado por otra autoridad supervisora, sobre el que ya se ha pronunciado la DPC irlandesa, que cerró su investigación el 2/02/2022, lo que supone una doble incriminación, a pesar de que el principio non bis in idem prohíbe la reapertura de un asunto que ya ha sido investigado por otra autoridad supervisora, a la vez que la propia RYANAIR por su cuenta, tomó ciertas medidas como los cambios en sus procesos de comunicación laboral y en el sistema ***APP.1. -Se ha rechazado por omisión al no concretar nada el instructor, la prueba solicitada de que la AEPD se dirija a la DPC para que confirme si llevó a cabo una investigación y ya tomó alguna decisión, y de ser así, si la DPC decidió no imponer sanción a RYANAIR. Considera C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/33 que no pronunciarse sobre ello, supone indefensión y perjuicio irreparable a la reclamada, vulnerándose los artículos 53.1.e), 53.2.b). 77.1, 77.2. y 77.3 de la LPACAP. -“Asimismo, la prueba acordada de oficio por el Sr. Instructor, de solicitar a RYANAIR determinada información y documentación, es susceptible de vulnerar el derecho de todo expedientado a la presunción de inocencia y a no declarar contra sí mismo en un procedimiento sancionador. Ello, por tanto, en vulneración del artículo 53.2
  22. b)LPACAP, en relación con el artículo 24 Constitución Española, el artículo 48 CEDFUE y los artículos 6.2 y 6.3 CEDH”, considerando que, con el expediente sancionador ya incoado, cesa cualquier deber de colaboración y se constata que el expediente se incoó sin haber realizado ningún tipo de actuación previas de investigación. Estima que la petición de pruebas debe considerarse nula según el artículo 47.1.
  23. a)de la LPACAP. No obstante, añade que responde a lo solicitado en pruebas. DÉCICMO SEGUNDO: Con fecha 20/05/2024, el instructor emitió propuesta de resolución, del literal: “Que por la Directora de la Agencia Española de Protección de Datos se archive el procedimiento sancionador iniciado frente a RYANAIR DAC OFICINA REPRESENTACIÓN ESPAÑA, con NIF W0071513F, por las infracciones de los siguientes artículos del RGPD, - 5.1.f), - 32, y - 5.1.
  24. c)“ No consta que se hayan presentado alegaciones a la citada propuesta. HECHOS PROBADOS PRIMERO: La reclamante, al menos al tiempo de suceder los hechos (***FECHA.1) tenía un contrato laboral con RYANAIR DAC suscrito el 1/03/2019 en Dublín, efectuando labores de tripulante de cabina de pasajeros en vuelos comerciales. En el contrato figura: -un apartado de “ausencia del trabajo” con obligación de informar a la compañía si va a estar ausente por enfermedad o lesión o cualquier otra razón, al menos dos horas antes del inicio de jornada o turno, debiendo cumplir con las obligaciones de reporte y certificación de ausencia de la compañía, según dispone el Apéndice 1 en el que se contienen términos y condiciones de trabajo parte del contrato de trabajo, y un apartado que específica para su cumplimiento, la obligación “desde el primer día de ausencia, de entregar o enviar dicho certificado médico a la compañía, de acuerdo con los procedimientos de ausencia en vigor -Información sobre la existencia de un procedimiento disciplinario establecido por la Compañía. -Información de que RYANAIR DAC procesará sus datos proporcionados para cualquier fin relacionado con el desempeño del acuerdo, según dispone el APÉNDICE DE PROTECCIÓN DE DATOS adjunto al contrato, entre otros “certificados médicos, detalles de ausencias y bajas por enfermedad”, constando entre los fines “establecer la evolución de las ausencias y gestionar el desempeño-mantener registros de las ausencias del personal “. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/33 SEGUNDO: La reclamada disponía de una “GUÍA DE TRABAJO DE RYANAIR” que recoge previsiones en general sobre la relación laboral de los empleados de RYANAIR con la compañía, y dentro de ella incluye en un ANEXO, el Reglamento interno del procedimiento disciplinario (RIPD) de RYANAIR, aprobado por la dirección de la Compañía y que se aplica a todo el personal de tripulación de cabina de RYANAIR, “cualquiera que fuera el país donde se hallase su base”(todas las bases de RYANAIR suman 84, en 33 países). El RIPD prevé su aplicación para, entre otras, la baja/ausencia no autorizada y falta de asistencia. En el detalle del procedimiento se prevé que cuando en su personal se produzcan ausencias por enfermedad o lesión, se ha de avisar por teléfono, debiendo justificarla ante la empresa con un formulario de autocertificación por escrito disponible en el sitio de intranet de la empresa y un certificado médico, si corresponde, el primer día de su ausencia, a menos que esté postrado en cama. Estos certificados deben indicar la naturaleza de su enfermedad y su fecha prevista de regreso al trabajo. ...” La reclamada puede considerar la ausencia como no autorizada si considera “inaceptable el motivo de la ausencia”. Para la aplicación del RIPD, la reclamada tiene designado a su propio personal, Directores y Jefes de Departamento. “En el procedimiento disciplinario, antes de tomar la medida, puede haber una reunión de investigación previa a la que asiste el supervisor o directo inmediato en la que se “intentan establecer los hechos”, “explicar su versión de los hechos y presentar cualquier información que considere relevante para la investigación” En el RIPD, se indica que se puede acabar con una advertencia final por escrito que será competencia del Jefe del Departamento, en su ausencia otro Director Senior conjuntamente con el Departamento de Recursos Humanos de RYANAIR. En el contrato suscrito con la reclamante se indica que se aplicará el procedimiento disciplinario detallado en la normativa de trabajo, que con la firma declara haber leído y entendido las normas laborales y la “Guía de trabajo de RYANAIR”. En el apéndice de protección de datos de carácter personal, se indica entre otros, que se pueden recoger datos de categoría de “certificados médicos, detalles de ausencias y bajas por enfermedad” y que uno de los fines del tratamiento es “establecer la evolución de las ausencias y gestionar el desempeño, ejemplo, mantener registros de ausencias del personal”, también prevé el acceso a sistemas internos necesario para el correcto desempeño de las funciones del empleado y sus límites. El apéndice 1 del contrato, como parte integrante del mismo, prevé la aplicación de procedimientos de ausencia vigentes en cada momento, aplicables a las ausencias en el trabajo, reflejando nuevamente que se han de justificar desde el primer día con certificado médico. TERCERO: La reclamante reclama ante la AEPD el 15/11/2021, que fue citada, el 15/07/2021, a una reunión con su Supervisora Base (SB) de RYANAIR en el aeropuerto de Madrid, Barajas (supervisora inmediata de la reclamante, responsable de la elaboración de la lista de turnos, empleada de RYANAIR que presta sus servicios en Madrid). En la reunión se le hicieron preguntas sobre sus ausencias al trabajo en el período de un año atrás que la reclamante contestó. La reclamada aporta copia de los puntos que anotó la convocante de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/33 dicha reunión en las cuestiones que formula a la reclamante, sobre que le sucedió en las distintas fechas que figuraban en sus registros de ausencia a su entender incompletas o no justificadas. La reclamante dio sus explicaciones que incluyen datos de salud, como, por ejemplo, que comenzó un tratamiento que tenía que hacer en tres sesiones, que estaba (...), que tuvo una (...) o una (...) con (...). En las anotaciones del final de la convocatoria, indica que “las notas de la reunión de hoy se enviaran a tu “European Base Manager”, que resulta ser la ***PUESTO.2 (***PUESTO.2), puesto que tiene autoridad para tomar decisiones disciplinarias para personal de varias bases de RYANAIR, es decir, es cargo que ostenta la competencia para dilucidar si hay responsabilidad o de que tipo sobre la reclamante. En alegaciones, la reclamada indicó que desde la ***PUESTO.2 se introducen los datos en la carta que es enviada a la reclamante, fechada el 28/07/2021, firmada por ella misma. El RIPD establece la intermediación del personal de RYANAIR para la gestión de estos procedimientos. CUARTO: La reclamante reclama que la carta de 28/07/2021, la recibió el ***FECHA.1, a través de la aplicación que la reclamada utiliza para comunicarse con su personal, denominada ***APP.1, en la que cada usuario tiene un “***APP.1 code” o nombre con el que se le identifica, y que contenía los datos de salud que ella dio en su entrevista de 15/06/2021. Añadió que se ha dado a conocer a terceros, de lo cual le informó un compañero ese mismo día ***FECHA.1 enviándole la carta en una impresión de pantalla. La carta, con el logo de RYANAIR DAC, firmada en sede Dublín, contiene las SEIS FECHAS o períodos de fechas de las ausencias de la reclamada que se repasaron en la entrevista. En los registros de la reclamada le constaban, todas con “justificante médico”, excepto la del período 17/06 a 30/07/2020. La carta decide no sancionar a la reclamante y contiene las respuestas a lo que sucedió en los períodos en que se le pregunta, figurando los datos de salud referidos. En el trámite de pruebas, se aprecia que la reclamada también solicita información sobre procesos de bajas médicas, verificando la reclamada que no se incluye la siguiente revisión o continuación de la baja en el parte de confirmación, en otros supuestos, la revisión de las ausencias se produce porque la reclamada consideraba que podría no ser un justificante médico, como la de 18/11/2020 en que se trataba de una cita para consulta de tratamiento de (...), que la reclamada estima no se incluye como justificante “para una baja médica”. QUINTO: Tras el traslado por la AEPD de la reclamación a la DPC el 13/01/2022, se recibe el 16/06/2022 su respuesta, indicando que el asunto es un supuesto de tratamiento por la AEPD local subsumiéndose en el artículo 56.2 del RGPD, por: 1) “While the main establishment of Ryanair is the DPC, it is established in Spain;“ lo que quizás quiera decir es que el establecimiento principal de RYANAIR está establecido en Irlanda. 2) “El supuesto relaciona específicamente los datos personales de una ex empleada de un establecimiento de RYANAIR en España, (y el asunto específicamente menciona la oficina registrada en una dirección del aeropuerto de Madrid, Barajas, y establecida en c/Emili Grahit 17002 Girona) y las actividades de un empleado en su base de supervisión de Madrid” 3) El tratamiento en cuestión”, se desconoce a cuál de ellos alude específicamente, ni define cual podría ser la (...) de tratamiento aludida, pues existe la recogida de datos en la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/33 entrevista, su conservación, su constancia en la carta, su revelación a terceros, y continua: “appears to have a substantial effect on one data subject in one country-Spain” que se traduciría como “parece tener un efecto sustancial en un interesado en un país, España”, 1) “the data subject issues are very specifically related to their former employment as in RYANAIR`s establishment in Spain”, traducido como “Las cuestiones del interesado están relacionadas muy específicamente con su empleo anterior, en el establecimiento de RYANAIR en España.” SEXTO: Tras la reclamación, la reclamada manifestó que no van a incluir literales ningunos en la carta referidos a datos médicos recabados, y que van a limitarse a conservar esa información en una nota de expediente que el empleado podría solicitar si deseaba impugnar la carta de resultados y van a introducir un cuadro de advertencia si se seleccionan varios destinatarios en los envíos a través de ***APP.1, además de información a los empleados . SÉPTIMO: RYANAIR DAC, con sede en Dublín, que no consta tuviera conocimiento de la interposición de la reclamación por la reclamante ante la AEPD el 15/11/2021, comunica a la DPC como una brecha de seguridad en sus datos personales el 19/11/2021 la difusión con el conocimiento por terceros de la carta producido cuando se envió el ***FECHA.1 la carta a la reclamante. En la comunicación, RYANAIR DAC manifestaba no haber tenido conocimiento anteriormente, debido a que el empleado que se apercibió y corrigió quitando la carta de ***APP.1 el ***FECHA.2, no escaló la noticia de la brecha al departamento competente. En el formulario de la brecha, entre otras circunstancias, figuraban: -El ***FECHA.1 a las 17:23 horas, (hora española), se envió a la reclamante una carta que contenía un resumen de dicha reunión, incluyendo detalles específicos de motivos de salud que justificaron sus diversas ausencias. En lugar de enviar la carta únicamente al interesado en “***APP.1”, la carta fue enviada a otros 50 miembros de la tripulación de Ryanair. Esto ocurrió debido al “resaltado inadvertido de los nombres de los destinatarios en la primera página de la portada por el empleado que envió la carta”. Indica que de los 21 destinatarios que abrieron la carta, eran todos tripulantes de cabina de vuelo, destinados en 15 bases distintas de Ryanair: en España, Italia, UK, Grecia o Portugal. -Afecta a interesados en más de un Estado miembro o se relaciona con el tratamiento de actividades en más de un estado miembro. --Concierne al tratamiento de datos personales que tienen lugar en el contexto de actividades de un establecimiento de un responsable en la Unión, pero que afecta sustancialmente o es probable que afecte sustancialmente a personas en más de un Estado miembro. - En el apartado para que explique el motivo por el que considera que la organización es el establecimiento principal, incluyendo si es la sede central en la UE y es el lugar en el que se toman las decisiones en los fines y los medios del tratamiento de datos personales, contesta que “la brecha se relaciona con el tratamiento de miembros de cabina de RYANAIR. Todos los datos de los miembros de cabina son controlados por RYANAIR DAC establecida en Irlanda, siendo el lugar en el que se halla la sede central de administración en la UE y donde se toman las decisiones de los fines y los medios en el tratamiento y bajo el control de RYANAIR DAC.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/33 OCTAVO: La DPC remitió escrito de correo electrónico RYANAIR el 2/02/2022 (número de referencia ***REFERENCIA.1). en el que indica que con la información proporcionada y las acciones que han sido tomadas del caso, ha concluido, recuerda la importancia de la revisión de correspondencia. También de que la autoridad se reserva la potestad de reabrir el caso para reexaminarlo o como parte de una investigación que pueda acabar en medidas correctivas, y le recuerda el deber de implementar medias técnicas y organizativas apropiadas para garantizar la seguridad de los datos. A la reclamante, la reclamada le informo el 19/11/2021 que se había notificado a la DPC la brecha de seguridad de datos referida a su comunicación a terceros de la carta, así como que el 4/02/2022 la DPC dio por concluida la comunicación y análisis de la notificación. NOVENO Consta acreditado que la DPC remitió a la reclamante una carta el 17/03/2022 indicándole que había recibido su reclamación cursada a través del traslado que le hizo la AEPD y que la va a valorar, y le invita a que si ya ha contacto con el responsable del tratamiento, le remite si dispone de documentos para que se valoren por ellos. DÉCIMO; La reclamada ha manifestado a lo largo de todo el procedimiento que GRUPO RYANAIR tiene su sede en Dublín, y RYANAIR DAC, situada en Irlanda, en relación las actividades transfronterizas de tratamiento de datos es el establecimiento principal, ya que es el lugar de administración central para las actividades de tratamiento de datos del Grupo. También es el responsable del tratamiento de los datos personales de los empleados y clientes de todo el grupo.” y que “Las funciones legales y de RRHH del grupo también están empleadas por RYANAIR DAC y ubicadas en Irlanda. Considerando que la DPC sería su autoridad de control principal para las actividades de tratamiento transfronterizo de conformidad con el artículo 56.1 y.6 del RGPD, y el único interlocutor para el tratamiento transfronterizo realizado por el responsable del tratamiento, que en este caso es RYANAIR DAC, puesto que las decisiones en relación con los procesos disciplinarios y de comunicación laboral y, en general, en relación con los datos de los empleados son tomadas por el DAC de Ryanair desde Irlanda, o revisadas y aprobadas por él, y afectan a todos los empleados de Ryanair de la UE que utilizan el sistema “***APP.1”. También señala que los cambios tras la gestión de la brecha notificada ala DPC fueron realizados por personal de RYANAIR DAC en Irlanda FUNDAMENTOS DE DERECHO I I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/33 II definiciones y aplicación del RGPD y autoridad de control competente El RGPD define en su artículo 4 “1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier (...) o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; 15) «datos relativos a la salud»: datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud; 16) «establecimiento principal»:
  25. a)en lo que se refiere a un responsable del tratamiento con establecimientos en más de un Estado miembro, el lugar de su administración central en la Unión, salvo que las decisiones sobre los fines y los medios del tratamiento se tomen en otro establecimiento del responsable en la Unión y este último establecimiento tenga el poder de hacer aplicar tales decisiones, en cuyo caso el establecimiento que haya adoptado tales decisiones se considerará establecimiento principal; Señala el artículo 3 del RGPD: “1. El presente Reglamento se aplica al tratamiento de datos personales en el contexto de las actividades de un establecimiento del responsable o del encargado en la Unión, independientemente de que el tratamiento tenga lugar en la Unión o no.” El artículo 4, número 23, del RGPD define “tratamiento transfronterizo” bien como: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/33 - el tratamiento de datos personales realizado en el contexto de las actividades de establecimientos en más de un Estado miembro de un responsable o un encargado del tratamiento en la Unión, si el responsable o el encargado está establecido en más de un Estado miembro, o - el tratamiento de datos personales realizado en el contexto de las actividades de un único establecimiento de un responsable o un encargado del tratamiento en la Unión, pero que afecta sustancialmente o es probable que afecte sustancialmente a interesados en más de un Estado miembro. Por su parte, el art 56 del RGPD establece lo siguiente: “1. Sin perjuicio de lo dispuesto en el artículo 55, la autoridad de control del establecimiento principal o del único establecimiento del responsable o del encargado del tratamiento será competente para actuar como autoridad de control principal para el tratamiento transfronterizo realizado por parte de dicho responsable o encargado con arreglo al procedimiento establecido en el artículo 60. 2. No obstante lo dispuesto en el apartado 1, cada autoridad de control será competente para tratar una reclamación que le sea presentada o una posible infracción del presente Reglamento, en caso de que se refiera únicamente a un establecimiento situado en su Estado miembro o únicamente afecte de manera sustancial a interesados en su Estado miembro. 3. En los casos a que se refiere el apartado 2 del presente artículo, la autoridad de control informará sin dilación al respecto a la autoridad de control principal. En el plazo de tres semanas después de haber sido informada, la autoridad de control principal decidirá si tratará o no el caso de conformidad con el procedimiento establecido en el artículo 60, teniendo presente si existe un establecimiento del responsable o encargado del tratamiento en el Estado miembro de la autoridad de control que le haya informado.” En cuanto a la entidad reclamada, la orden EHA/451/2008 de 20/03 por la que se regula la composición del número de identificación fiscal de las personas jurídicas y entidades sin personalidad jurídica, señala que “La clave N, que hasta ahora se asignaba a las entidades no residentes, se utilizará para informar sobre el carácter de entidad extranjera y se define una nueva clave, la W, para informar sobre el carácter de establecimiento permanente de una entidad no residente.”, siendo la reclamada RYANAIR D.A.C., OFICINA REPRESENTACIÓN ESPAÑA con CIF/NIF W0071513F. Además, se ha de indicar que de acuerdo con el considerando

(22)“Todo tratamiento de datos personales en el contexto de las actividades de un establecimiento de un responsable o un encargado del tratamiento en la Unión debe llevarse a cabo de conformidad con el presente Reglamento, independientemente de que el tratamiento tenga lugar en la Unión. Un establecimiento implica el ejercicio de manera efectiva y real de una actividad a través de modalidades estables. La forma jurídica que revistan tales modalidades ya sea una sucursal o una filial con personalidad jurídica, no es el factor determinante al respecto.” En este caso, pese a desconocerse los eventuales tratamientos que pueda llevar a cabo si es que los lleva, el establecimiento de RYANAIR en España, y que según la reclamada, no efectúa ninguno, siendo un mero sistema establecido de contacto, no consta acreditado que el citado establecimiento de RYANAIR en España realice tratamientos referidos a la gestión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/33 de asuntos disciplinarios en lo laboral, ni de tratamientos tendentes a plasmar la tramitación de la comunicación de dichas resoluciones una vez adoptadas. Contrariamente, existen indicios de que estos se efectúan en el establecimiento principal de la reclamada en Dublín, Irlanda. No solo sus manifestaciones son congruentes, sino que lo anterior también se desprende del modelo de contrato suscrito con la reclamada y de la interpretación de su contenido, así como de la notificación de la brecha a la autoridad irlandesa que fue realizada por RYANAIR establecimiento en Dublín. Sobre la tesis que propugna la reclamante estimando que el establecimiento responsable de cara a las relaciones laborales es el ubicado en Girona, aduciendo que se aplica la normativa del Reglamento de la Comisión Europea 8/2008, sobre los procedimientos administrativos comunes aplicables al transporte comercial por avión, que define las bases, es un argumento a todas luces insuficiente, pues el de responsable del tratamiento es un concepto autónomo y propio del derecho de la Unión Europea, y se define en el RGPD en su artículo 4.7 del RGPD. El derecho contenido en el RGPD propugna una aplicación efectiva, coherente y homogénea en el ámbito de la UE. En este caso, el hecho de que la persona reclamante, contratada por RYANAIR con sede en Dublín, resida, o sea nacional de España, y haya presentado su reclamación ante esta AEPD, no convierte al tratamiento en un caso de impacto local, pues el procedimiento de investigación de ausencias laborales estatuido para todo el personal de RYANAIR puede afectar a cualquier empleado situado en cualquier Estado miembro. En cuanto al escrito que se recibe, respuesta de la “Data Protection Commission” de 16/06/2022, indica, tras citar el artículo 56.2 del RGPD que: -“Han revisado la reclamación y ha de ser devuelta para su tratamiento local por la autoridad española. La resolución ha sido tomada por: 1) “While the main establishment of Ryanair is the DPC, it is established in Spain;“ 2) “El supuesto relaciona específicamente los datos personales de una ex empleada de un establecimiento de RYANAIR en España, (y el asunto específicamente menciona la oficina registrada en una dirección del aeropuerto de Madrid, Barajas, y establecida en c/Emili Grahit 17002 Girona) y las actividades de un empleado en su base de supervisión de Madrid”. Sin embargo, la empleada reclamante presta sus servicios para RYANAIR DAC establecida en Dublín, con quien firma el contrato, aunque su base esté en España, y por otro lado, algo similar ocurre con la Supervisora de base, que es también empleada del establecimiento en Dublín, persona que en el ejercicio de las funciones que le atribuyó RYANAIR, en el seno del procedimiento disciplinario que tiene establecido y que ha sido aportado, fue la que realizó el 15/06/2021 la entrevista a la reclamante. El papel que desempeña el establecimiento de RYANAIR en España, según las alegaciones recibidas es un mero buzón a efectos de recibir notificaciones, subrayando que no juega ninguno en las cuestiones que atañen a las actividades relacionadas con el asunto objeto de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/33 la reclamación, puesto que las decisiones de elaborar los procedimientos, insertar en los contratos las cláusulas sobre tratamiento de datos de los empleados, elaborar la “Guía laboral de RYANAIR” y sobre las ausencias en el trabajo y su control, las decide la sede de Dublín, observándose que en el contrato que aportó la reclamada, sobre la reclamante, se contienen tales referencias y contenido expresamente, y se reitera, fue firmado en Dublín. 3) En el último párrafo de razonamiento de la respuesta de la DPC, concluye que “El tratamiento en cuestión”, pero se desconoce a cuál de ellos alude específicamente, ni define cual podría ser la (...) de tratamiento aludida, pues existen las siguientes: la recogida de datos en la entrevista, su conservación, su constancia en la carta, su revelación a terceros. Continua el escrito indicando: “appears to have a substantial effect on one data subject in one country-Spain” que se traduciría como “parece tener un efecto sustancial en un interesado en un país, España”, cuando el literal del artículo 56.2 del RGPD mencionado dice: “únicamente afecte de manera sustancial a interesados en su Estado miembro”. Sin embargo, en este caso, los procedimientos en materia laboral y el contenido de los contratos que celebra RYANAIR, se fijan por el establecimiento en Dublín, en particular los procedimientos de control de ausencias del trabajo y efectos resultan aplicables a cualquier país en el que RYANAIR tenga empleados, afectándoles a todos ellos, luego no tiene o no afecta solo y exclusivamente a interesados en un Estado miembro. 4) Para finalizar, la respuesta de la DPC indica: “the data subject issues are very specifically related to their former employment as in RYANAIR`s establishment in Spain”, traducido como: “Las cuestiones del interesado están relacionadas muy específicamente con su empleo anterior, en el establecimiento de RYANAIR en España.”. No obstante, de la tramitación del presente procedimiento, se aprecia que el establecimiento situado en España no ejerce ningún poder de disposición o control efectivo en el contexto de las actuaciones del tratamiento objeto de la reclamación. III En este caso, no se trata de controlar la falta de asistencia en el trabajo cuando esta se produce, sino los registros de las pasadas asistencias de la empleada (tripulante de cabina) a modo de repaso, a un año vista atrás, procedimiento en el que es llamada la empleada, reclamante, bajo el proceso que la empleadora denomina “disciplinario”. Sobre este particular, se ha de indicar lo siguiente: -La reclamada ha manifestado que los efectos de las investigaciones previas que pueda realizar para el control de ausencias de los empleados se incluyen en los contratos de los empleados. Se trata de un procedimiento reglado que pueden conocer los empleados al contenerse en el contrato. Así, se deriva de lo anterior que estas previsiones son susceptibles de afectar no solo a la reclamante, sino a cualquier empleado de RYANAIR. Quien tramita los procesos de personal es el establecimiento en Dublín, Irlanda, sin que se aprecie, por otro lado, intervención alguna por parte del establecimiento en España. - El tratamiento de datos se realiza, de acuerdo con los procedimientos establecidos por el establecimiento en Dublín que es el que decide la obtención e incorporación de los datos e C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/33 informaciones manifestadas por la reclamante al procedimiento, así como incorporar esos datos a sus sistemas. La carta que recibe la reclamante se elabora y envía por la citada entidad mediante el propio personal de RYANAIR DAC, con establecimiento en Dublín, con el objeto de documentar un no acuerdo de inicio de inicio de procedimiento disciplinario a la reclamante. RYANAIR DAC, con sede en Dublín, firmó un contrato de trabajo con la reclamante que contenía el procedimiento para justificar las ausencias. Además, tiene unos procedimientos de gestión instaurados que se reflejan en su “Guía de trabajo de RYANAIR”, entre los que consta el REGLAMENTO INTERNO de procedimiento disciplinario, documentos ambos, que la reclamante declara con su firma conocer. Tales documentos laborales, no tienen un ámbito de aplicación limitado a un solo país, es decir a España exclusivamente, sino que se aplican a todos los empleados que tengan unas determinadas funciones, como así manifestó la reclamada en su respuesta a las pruebas practicadas, que el RIPD se aplicaba a todo el personal de tripulación de cabinas, cualquiera que fuera el país donde se hallase su base, 84 bases en 33 países. Con arreglo a lo señalado, se aprecia falta de legitimación pasiva de la reclamada respecto de las infracciones imputadas, de lo que resulta el archivo del procedimiento sin perjuicio de su traslado a la DPC Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el procedimiento sancionador iniciado a RYANAIR DAC OFICINA REPRESENTACION ESPAÑA, con NIF W0071513F por las infracciones de los siguientes artículos del RGPD, - 5.1.f), - 32, y - 5.1.c) SEGUNDO: NOTIFICAR la REPRESENTACION ESPAÑA. presente resolución a RYANAIR DAC OFICINA TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/33 la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.