← España

PS-00568-2022

1/17 Expediente N.º: EXP202208403 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y con base en los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) en fecha 08/07/2022 interpone reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra SISTEMAS TUBULARES DE INGENIERÍA CANARIAS, S.L., (Grupo STIN) con NIF B76775808 (en adelante, la parte reclamada o SISTEMAS TUBULARES). Basa la reclamación en que la parte reclamada, con quien mantuvo en el pasado una relación laboral, “se ha servido de mis datos personales para poner una denuncia y no conforme con ello, se dedica a ir enviarlo [sic] a diferentes empresas del sector”. La reclamante manifiesta que una vez extinguida la relación laboral con la parte reclamada comenzó a trabajar para la competencia. Que el 30/09/2021 la Administradora de SISTEMAS TUBULARES, doña B.B.B.., formuló contra ella una denuncia policial y, el mismo día, desde su correo corporativo (perteneciente al dominio ***URL.1), envió un mensaje a la dirección corporativa de seis destinatarios (también perteneciente al dominio ***URL.1) con el que anexó una copia de la denuncia policial presentada contra ella. Añade que el 01/10/2021, don C.C.C..., “Delegado XXXXXXX”, desde la cuenta de correo corporativo de SISTEMAS TUBULARES (***URL.1) envió un mensaje a la cuenta corporativa de ochos personas físicas (todas pertenecientes al dominio ***URL.2) con el que remitió anexa una copia de la denuncia policial. Aporta estos documentos: -Copia de la denuncia presentada por la Administradora de SISTEMAS TUBULARES en la Comisaría de Policía el día 30/09/2021 (Atestado XXXX/XX) en la que atribuye a la parte reclamante la sustracción de material en una de sus obras ocurrida el 24/09/2021 y explica que la reclamante estuvo trabajando para la empresa reclamada “hasta diciembre de 2019”. Con objeto de identificarla facilita estos datos personales de la reclamante: nombre, dos apellidos, número de NIF, número de móvil y su dirección postal completa (calle, número, piso, localidad y código postal). -Copia del correo electrónico enviado desde la cuenta corporativa ***EMAIL.1 el 30/09/2021, con el “Asunto: Sustracción de material”. Va dirigido a dos destinatarios, con copia a cuatro más, todos ellos con direcciones corporativas de ***URL.1, cinco de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/17 los cuales son personas físicas siendo el sexto destinatario “***DESTINATARIO.1”. El texto del mensaje es el siguiente: <<Buenas tardes a todos: Adjunto envío la denuncia que hemos puesto hoy, junto con los documentos aportados. Para cualquier duda o aclaración nos contactan.>> (El subrayado es nuestro) -Copia del correo electrónico enviado el 01/10/2021 desde la cuenta corporativa ***EMAIL.1. Figuran como cuentas destinatarias las direcciones corporativas de ocho personas físicas (***URL.1). En el encabezado del correo enviado, debajo de la relación de destinatarios, figura esta leyenda: “5 archivos adjuntos (2MB) “STIC DENUNCIA SUSTRACCIÓN MATERIALES A.A.A. 30092021.pdf; […]”. El texto del mensaje enviado es el siguiente: <<Buenos días, Adjunto información de la denuncia interpuesta sobre la persona de A.A.A. (XXXXX) la cual nos sustrajo material de andamio Layher en vuestras instalaciones. […] Por nuestra parte pedimos disculpa por las molestias que podemos ocasionar con dicho tema pero para STIN Canarias es muy importante […] y poder ofrecer el servicio que XXXXXXXX se merece. […]>> SEGUNDO: Traslado de la reclamación De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a SISTEMAS TUBULARES para que procediese a su análisis e informase a esta Agencia en el plazo de un mes de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue aceptado por el destinatario el 02/08/2022, como consta en el acuse de recibo que obra en el expediente. No se recibe respuesta al escrito de traslado. TERCERO: Admisión a trámite de la reclamación En fecha 4/10/2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. Conforme a lo prevenido en el artículo 65.5 de la LOPDGDD la admisión a trámite se notificó a la parte reclamante con arreglo a la LPACAP, siendo aceptada la notificación el 15/10/2022, como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/17 CUARTO: Información económica de la entidad reclamada De acuerdo con el informe recogido de la herramienta AXESOR, la entidad SISTEMAS TUBULARES DE INGENIERÍA CANARIAS, S.L., con NIF B76775808, constituida en el año 2018, es una empresa pequeña que en el ejercicio 2021 contaba con ocho trabajadores y con un volumen de negocio de XXXX,XX€. Es una filial del GRUPO STIN CORPORATIVO, S.L., con NIF B88570486. QUINTO: Acuerdo de apertura de procedimiento sancionador En fecha 13/07/2023 la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada por la presunta infracción de los artículos 5.1.

  1. e)y 5.1.
  2. f)del RGPD, tipificadas ambas en el artículo 83.5.
  3. a)del RGPD. SEXTO: Notificación del acuerdo de inicio del procedimiento El acuerdo de inicio se notificó a la parte reclamada por correo postal (de acuerdo con lo prevenido en el artículo 43.2 del R.D. 203/2021, de 30 de marzo, por el que se aprueba el Reglamento de actuación y funcionamiento del sector público por medios electrónicos) siendo devuelto a origen por sobrante el 11/08/2023. El primer intento de notificación se realizó el 01/08/2023 a las 12:19 horas con resultado ausente. El segundo intento se efectuó el 02/08/2023, a las 19:58 horas con resultado ausente. Se deja aviso en buzón. Al ser la notificación infructuosa, en aplicación del artículo 44 de la LPACAP, se efectuó la notificación mediante anuncio publicado en el Boletín Oficial del Estado (BOE), Suplemento de Notificaciones, de 18/08/2023. En el anuncio insertado en el BOE se indicó que “En el plazo máximo de 10 días hábiles contados desde el día siguiente al de la publicación del presente anuncio, el interesado a efectos de esta notificación o su representante, podrá solicitar, acreditando su identidad, una copia del documento correspondiente al acto administrativo señalado, para conocimiento de su contenido íntegro, solicitándolo a través de la Sede Electrónica de la Agencia (https://sedeagpd.gob.es/sede-electronicaweb/), o compareciendo de lunes a viernes de 9:00 a 14:30 en el Servicio de Atención al Ciudadano de la Agencia Española de Protección de Datos, calle Jorge Juan, 6, 28001 Madrid. Si transcurrido dicho plazo no se hubiera comparecido, la notificación se entenderá practicada a todos los efectos legales desde el día siguiente al del vencimiento del plazo máximo señalado para comparecer.” (El subrayado es nuestro) Habiendo transcurrido el plazo de 10 días hábiles computado desde el siguiente al de la publicación del anuncio en el BOE de fecha 18/08/2023 sin que la parte reclamante hubiera comparecido, la notificación del citado acuerdo se entiende practicada a todos los efectos desde el 04/09/2023. QUINTO: No se formulan alegaciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/17 Notificado el acuerdo de inicio del expediente sancionador conforme a lo dispuesto en la LPACAP y transcurrido el plazo otorgado para este trámite, no consta en esta Agencia que la reclamada hubiera presentado alegaciones. SEXTO: Aplicación del artículo 64.2.
  4. f)de la LPACAP. El acuerdo de inicio es considerado propuesta de resolución El artículo 64.2.
  5. f)de la LPACAP, precepto del que se informó a la parte reclamada en el acuerdo de apertura del procedimiento, dispone que, si en el plazo previsto no se efectúan alegaciones por el presunto infractor sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. El acuerdo de apertura del expediente sancionador determinaba los hechos en los que se concretaba la imputación; las infracciones del RGPD que se atribuían a la parte reclamada y las sanciones que podrían imponerse. Por ello, tomando en consideración que la parte reclamada no ha presentado alegaciones al acuerdo de inicio del expediente y conforme a lo establecido en el artículo 64.2.
  6. f)de la LPACAP, el citado acuerdo de inicio es considerado propuesta de resolución. A la vista de lo actuado, en el presente procedimiento se aprecian los siguientes HECHOS PROBADOS PRIMERO: La parte reclamante interpone reclamación en la Agencia Española de Protección de Datos el 08/07/2022 en la que manifiesta que (
  7. i)la parte reclamada ha hecho uso de sus datos personales, recogidos con ocasión de la relación laboral que mantuvieron en el pasado, para identificarla ante la Policía en la denuncia presentada contra ella como autora de la sustracción de material en una de sus obras y que (
  8. ii)ha difundido sus datos a terceras personas, a quienes les ha facilitado por correo electrónico una copia de la denuncia. SEGUNDO: Obra en el expediente una copia de la denuncia presentada en la Comisaría de Policía el 30/09/2021 (Atestado XXXX/XX) por Doña B.B.B. El texto de la denuncia ofrece esta información: -Doña B.B.B. formula la denuncia en calidad de administradora solidaria de la parte reclamada. -Atribuye a la parte reclamante la sustracción de un material de obra acaecida el 24/09/2021. -Afirma que la parte reclamante estuvo trabajando para su empresa “hasta diciembre de 2019”. -Identifica a la reclamante como autora de la sustracción y proporciona estos datos de carácter personal: su nombre, dos apellidos, número de NIF, número de móvil y su dirección postal completa (calle, número, piso, localidad y código postal). TERCERO: Obra en el expediente la copia del correo electrónico enviado el 30/09/2021 desde la cuenta corporativa ***EMAIL.1 con el “Asunto: Sustracción de material”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/17 1.-El correo se dirige, como destinatarios, a dos direcciones de correo, y se envía una copia a cuatro direcciones más. Todas las direcciones son corporativas de ***URL.1, cinco de las cuales corresponde a personas físicas: (…). 2.-El texto del mensaje es el siguiente: <<Buenas tardes a todos: Adjunto envío la denuncia que hemos puesto hoy, junto con los documentos aportados. Para cualquier duda o aclaración nos contactan.>> (El subrayado es nuestro) CUARTO: Obra en el expediente una copia del mensaje envidado el 01/10/2021 desde la cuenta corporativa ***EMAIL.1. 1.-En él constan como destinatarias del mensaje las direcciones corporativas de ocho personas físicas: (…). 2.-En el encabezamiento del correo enviado, debajo de la relación de destinatarios, figura la siguiente leyenda precedida de un símbolo -el dibujo de un clip- que informa de que el mail incorpora documentos anexos: “5 archivos adjuntos (2MB) “STIC DENUNCIA SUSTRACCIÓN MATERIALES A.A.A. 30092021.pdf; RELACION MATERIAL SUSTRAIDO 24.09.pdf; IMG-20210930WA0002.jpg;1632914896299.jpg;1632914896306.jpg;” 3.-El texto del mensaje enviado es el siguiente: <<Buenos días, Adjunto información de la denuncia interpuesta sobre la persona de A.A.A. (XXXXX) la cual nos sustrajo material de andamio Ayer en vuestras instalaciones. […] Por nuestra parte pedimos disculpa por las molestias que podemos ocasionar con dicho tema pero para STIN XXXXXX es muy importante […] y poder ofrecer el servicio que XXXXXXXX se merece. […]>> (El subrayado es nuestro) FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/17 Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Disposiciones aplicables El artículo 5 del RGPD establece los principios que deben presidir todo tratamiento de los datos de carácter personal, precepto que dispone: “Principios relativos al tratamiento: 1. Los datos personales serán:
  9. a)[…] («licitud, lealtad y transparencia»);
  10. b)[…] («limitación de la finalidad»);
  11. c)[…] («minimización de datos»);
  12. d)[…] («exactitud»); e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);
  13. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). 2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).” (El subrayado es nuestro) III Cuestiones previas En relación con los hechos sobre los que versa la reclamación, a tenor de lo dispuesto en los artículos 4.1 y 4.2 del RGPD, consta la existencia de un tratamiento de datos de carácter personal de la parte reclamante realizado por SISTEMAS TUBULARES en calidad de responsable, pues fue esa entidad quien determinó los fines y los medios del tratamiento (artículo 4.7 RGPD). El procedimiento sancionador ha versado sobre la adecuación a los principios de limitación del plazo de conservación y de confidencialidad, previstos, respectivamente, en los apartados
  14. e)y
  15. f)del artículo 5.1. del RGPD, del tratamiento que SISTEMAS TUBULARES ha efectuado de los datos personales de la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/17 IV Obligación incumplida: Infracción del artículo 5.1.
  16. e)del RGPD 1.Se atribuye a la parte reclamada en este procedimiento sancionador una infracción del artículo 5.1.
  17. e)del RGPD, relativo al principio de “limitación del plazo de conservación de los datos”, en virtud del cual el responsable del tratamiento mantendrá los datos de carácter personal de forma que permita la identificación de los interesados para los fines del tratamiento durante no más tiempo del necesario. La conservación de los datos entraña una operación de tratamiento. En ese sentido el artículo 4.2 del RGPD define el “tratamiento” como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. (El subrayado es nuestro) El Considerando 39 del RGPD se refiere al principio de limitación del plazo de conservación cuando indica: “[…] Los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para los fines para los que sean tratados. Ello requiere, en particular, garantizar que se limite a un mínimo estricto su plazo de conservación. Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios. Para garantizar que los datos personales no se conservan más tiempo del necesario, el responsable del tratamiento ha de establecer plazos para su supresión o revisión periódica. […]” (El subrayado es nuestro) Debe tenerse en cuenta que, conforme al artículo 17 del RGPD, el responsable de un tratamiento está obligado a “suprimir sin dilación” los datos personales que dejen de ser necesarios para los fines para los cuales fueron recogidos. También, que, a tenor del artículo 32 de la LOPDGDD, la supresión de los datos personales conlleva su bloqueo, que consiste en la identificación y reserva de éstos, adoptando medidas técnicas y organizativas para impedir su tratamiento, incluyendo su visualización, “excepto para la puesta a disposición de los datos a los jueces y tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes, en particular de las autoridades de protección de datos, para la exigencia de posibles responsabilidades derivadas del tratamiento y solo por el plazo de prescripción de las mismas. Transcurrido ese plazo deberá procederse a la destrucción de los datos.” Estas excepciones son las únicas finalidades para las cuales pueden tratarse los datos que han sido bloqueados. El artículo 17 del RGPD, “Derecho de supresión («el derecho al olvido»)”, dispone: “1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/17
  18. a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo; […] 2.[…] 3.Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
  19. a)para ejercer el derecho a la libertad de expresión e información;
  20. b)para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
  21. c)por razones de interés público en el ámbito de la salud pública […]
  22. d)con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, […], o
  23. e)para la formulación, el ejercicio o la defensa de reclamaciones.” (El subrayado es nuestro) El artículo 32 de la LOPDGDD, “Bloqueo de los datos”, establece: “1. El responsable del tratamiento estará obligado a bloquear los datos cuando proceda a su rectificación o supresión. 2. El bloqueo de los datos consiste en la identificación y reserva de los mismos, adoptando medidas técnicas y organizativas, para impedir su tratamiento, incluyendo su visualización, excepto para la puesta a disposición de los datos a los jueces y tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes, en particular de las autoridades de protección de datos, para la exigencia de posibles responsabilidades derivadas del tratamiento y solo por el plazo de prescripción de las mismas. Transcurrido ese plazo deberá procederse a la destrucción de los datos. 3. Los datos bloqueados no podrán ser tratados para ninguna finalidad distinta de la señalada en el apartado anterior.[…]” (El subrayado es nuestro) 2. Consta acreditado en el expediente que la Administradora de SISTEMAS TUBULARES declaró ante la Policía cuando interpuso la denuncia contra la parte reclamante que había existido entre ambas una relación laboral que finalizó en diciembre del año 2019. En idéntico sentido se ha manifestado la parte reclamante. Así pues, cuando la Administradora de la parte reclamada interpone la denuncia policial, el 30/09/2021, habían transcurrido veinte meses desde que el contrato de trabajo entre la parte reclamante y la parte reclamada había finalizado. Consta también acreditado en el expediente que el 30/09/2021 la parte reclamada trató los datos personales de la reclamante -nombre, dos apellidos, NIF, teléfono móvil y dirección postal completa (calle, número, piso y localidad)- para identificarla en la Policía como presunta autora de una sustracción de su material de obra. Los datos personales de la parte reclamante que obraban en poder de la reclamada en esa fecha -30/09/2021- habían sido recogidos en calidad de responsable del tratamiento con una finalidad específica: el desarrollo y ejecución de la relación laboral que ambas mantuvieron. La parte reclamada recogió, conservó y utilizó lícitamente esos datos mientras el contrato de trabajo estuvo vigente y durante el tiempo necesario para su ejecución amparada en la base de licitud del artículo 6.1.
  24. b)del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/17 RGPD, precepto que estable que “El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: […]
  25. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de éste de medidas precontractuales”. Finalizada la relación laboral, los datos de la reclamante dejaron de ser necesarios para el fin para el que se habían recabado. Cabe añadir a ese respecto que no hay en el expediente indicio alguno de que, con posterioridad a la fecha en la que finalizó el contrato de trabajo, existiera entre ambas alguna obligación pendiente de cumplimiento o de que la parte reclamada debiera depurar aún alguna responsabilidad frente a la reclamante derivada de ese vínculo laboral. Por consiguiente, la parte reclamada debió proceder a la supresión de los datos de la parte reclamante conforme a lo prevenido en el artículo 17.1.
  26. a)del RGPD, precepto que obliga al responsable del tratamiento a “suprimir sin dilación indebida” los datos del interesado cuando “ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo”. Igualmente, debió de proceder al bloqueo de los datos, de acuerdo con lo prevenido en el artículo 32.1 de la LOPDGDD, precepto que establece: “1. El responsable del tratamiento estará obligado a bloquear los datos cuando proceda a su rectificación o supresión.” Es importante subrayar que los hechos sobre los que versó la denuncia policial que la Administradora de SISTEMAS TUBULARES presentó contra la parte reclamante ocurrieron al margen de la relación laboral que las partes mantuvieron en el pasado y nada tienen que ver con las obligaciones que pudieran haber surgido en ese ámbito. Esto es, la conducta de la reclamante que fue objeto de denuncia en la Policía -la sustracción de material de una obra acaecida el 24/09/2021- tuvo lugar cuando hacía casi veinte meses que había finalizado el contrato de trabajo con la reclamada (contrato que finalizó en diciembre de 2019) y cuando la parte reclamante trabajaba como empleada en otra empresa del sector. La vulneración del artículo 5.1.
  27. e)del RGPD del que se responsabiliza a la parte reclamada -en virtud del cual el responsable del tratamiento está obligado a no mantener los datos durante más tiempo del necesario para la identificación de los interesados para los fines del tratamiento- se evidencia claramente atendiendo al intervalo de tiempo transcurrido entre la fecha en la que terminó la relación laboral que vinculó a las parte reclamada y reclamante (en diciembre de 2019) y el momento en el que la reclamada trató los datos personales de la reclamante obtenidos en el marco de esa relación laboral para una finalidad distinta de aquella para la cual se recogieron: para identificarla en la Policía como presunta autora de una sustracción de su material de obra (el 30/09/2021) El compendio de datos personales de la reclamante que la parte reclamada pudo facilitar a la Policía con el fin de identificarla acredita que, mucho tiempo después de que se hubiera extinguido el contrato para cuyo cumplimiento y ejecución se recogieron, los datos aún eran objeto de tratamiento. El RGPD introduce el principio de responsabilidad proactiva (artículo 5.2) en virtud del cual el responsable del tratamiento es responsable del cumplimiento de los principios relativos al tratamiento previstos en el artículo 5.1. -por lo que aquí interesa del artículo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/17 5.1.
  28. e)del RGPD- y debe ser capaz de demostrarlo. Corresponde por tanto a la parte reclamada la carga de acreditar que, en el supuesto de hecho examinado, cumplió el principio de limitación del plazo de conservación de los datos personales de la afectada. Cabe recordar en ese sentido que la parte reclamada no ha formulado alegaciones al acuerdo de apertura del procedimiento como tampoco tuvo a bien responder al traslado de la reclamación que le hizo la Subdirección General de Inspección de Datos. Respecto al elemento de la culpabilidad, necesario para que nazca la responsabilidad sancionadora, se concreta en este caso en la falta de diligencia demostrada en el cumplimiento de la obligación que le impone el artículo 5.1.
  29. e)del RGPD. En consideración a lo expuesto, y a tenor de la documentación que obra en el expediente, resulta acreditado que SISTEMAS TUBULARES siguió tratando los datos personales de la parte reclamante después de que dejasen de ser necesarios para la finalidad para la cual se recogieron (el desenvolvimiento de la relación laboral), toda vez que los utilizó veinte meses después de terminado el contrato de trabajo y con una finalidad distinta de aquella para la que se habían recabado (en este caso, para identificar a la parte reclamante con ocasión de la denuncia presentada en la Policía como presunta autora de la sustracción de material de una de sus obras). Conducta que vulnera el principio de limitación del plazo de conservación establecido en el artículo 5.1.
  30. e)del RGPD. V Tipificación de la infracción del artículo 5.1.
  31. e)del RGPD La infracción del artículo 5.1.
  32. e)del RGPD de la que se responsabiliza a SISTEMAS TUBULARES se encuentra tipificada en el artículo 83.5.
  33. a)del RGPD, precepto que establece: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  34. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; […]” A los solos efectos de determinar el plazo de prescripción de las infracciones resulta aplicable lo dispuesto en el artículo 72 de la LOPDGDD que, bajo la rúbrica “Infracciones consideradas muy graves”, indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  35. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. […]” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/17 VI Sanción. Infracción del artículo 5.1.
  36. e)RGPD Los poderes correctivos que el RGPD otorga a esta autoridad de control se detallan en el artículo 58.2 del RGPD, apartados
  37. a)a j). El precepto menciona entre ellos la potestad de imponer una multa administrativa con arreglo al artículo 83 del RGPD (artículo 58.2. i). Respecto a la infracción del artículo 5.1.
  38. e)del RGPD de la que se responsabiliza a SISTEMAS TUBULARES, esta resolución acuerda imponer como medida correctiva una sanción de multa administrativa (artículo 58.2.
  39. i)del RGPD). El artículo 83 del RGPD, “Condiciones generales para la imposición de multas administrativas”, dice en su apartado 1 que la autoridad de control garantizará que la imposición de multas por las infracciones del presente Reglamento indicadas en los apartados 4,5 y 6, cumpla, en cada caso individual, los principios de “efectividad, proporcionalidad y carácter disuasorio.” El principio de proporcionalidad obliga a que exista una correlación entre la infracción y la sanción, con interdicción de medidas innecesarias o excesivas, de manera que habrá de ser apta para alcanzar los fines que la justifican. En aras a garantizar la proporcionalidad de la sanción que pudiera imponerse se ha tomado en consideración que, según la información disponible, el volumen de negocio de la parte reclamada ascendió en el ejercicio 2021 a 3.616, 51€. Por su parte, el artículo 83.2. del RGPD ofrece una relación de criterios o factores, que deben ser tenidos en cuenta para determinar el importe de la multa, con la finalidad de adecuar la sanción de multa a la gravedad de la infracción cometida. En el acuerdo de apertura del presente expediente sancionador se hizo constar que, de conformidad con los criterios de los artículos 83.1. y 83.2 del RGPD, podría imponerse a SISTEMAS TUBULARES por la infracción del artículo 5.1.
  40. e)del RGPD, tipificada en el artículo 83.5.
  41. a)del RGPD, una multa administrativa por importe de 1.000€ (mil euros). En esta resolución se acuerda imponer a SISTEMAS TUBULARES, como responsable de la infracción del artículo 5.1.
  42. e)del RGPD, infracción tipificada en el artículo 83.5.
  43. a)del RGPD, una sanción de multa administrativa por importe de 1.000€ (mil euros). VII Obligación incumplida: Infracción del artículo 5.1.
  44. f)del RGPD 1. Se atribuye a SISTEMAS TUBULARES en esta resolución una infracción del principio de confidencialidad establecido en el artículo 5.1.
  45. f)del RGPD en virtud del cual el responsable está obligado a tratar los datos personales de modo que se garantice su confidencialidad. El considerando 39 del RGPD dice en este sentido que “Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/17 datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento.” Cabe mencionar en relación con el principio de confidencialidad la Sentencia del Tribunal Constitucional (STC) 292/2000 que, a propósito del contenido del derecho a la protección de datos personales, dice en su Fundamento de Derecho 7: “[…] resulta que el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos.” (El subrayado es nuestro) 2.Obran en el expediente administrativo, aportados por la parte reclamante, los dos correos electrónicos que SISTEMAS TUBULARES envió a diversos destinatarios el 30/09/2021 y el 01/10/2021 con los que les remitió, como documento anexo, la denuncia policial que había presentado el 30/09/2021 contra la parte reclamante por una presunta sustracción de material. En la denuncia policial la parte reclamante había identificado a la reclamada con numerosos datos, no solo el nombre, los dos apellidos y el número de móvil, también su NIF y su dirección postal completa (calle, número, piso, localidad y código postal). Recordemos, además, que el e-mail enviado el 30/09/2021 incluía este texto: “Adjunto envío la denuncia que hemos puesto hoy, […]”. Y el de fecha 01/10/2021 decía: “Adjunto información de la denuncia interpuesta sobre la persona de A.A.A. (XXXXXX)” Así pues, con independencia de que la reclamada hubiera anexado a los dos correos electrónicos que envió los días 30/09/2021 y 01/10/2021 una copia de la denuncia policial -en la que, constaban numerosos datos de la reclamante- es especialmente relevante que, en el segundo mensaje enviado (de fecha 01/01/2021), el propio texto del mensaje (por tanto, sin necesidad de acceder a la denuncia policial enviada como documento anexo) facilitaba a sus destinatarios, ocho personas físicas, los datos de identidad de la parte reclamante -el nombre y los dos apellidos y el nombre de la empresa para la cual trabajaba, XXXXXX- y le atribuía una infracción penal, la sustracción de un material de obra. En el encabezado del correo enviado el 01/10/2021, debajo de la relación de los destinatarios, figura esta leyenda: “5 archivos adjuntos (2MB) “STIC DENUNCIA SUSTRACCIÓN MATERIALES A.A.A. 30092021.pdf; […]”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/17 Y en el cuerpo del mensaje enviado el 01/10/2021 se decía lo siguiente: “Adjunto información de la denuncia interpuesta sobre la persona de A.A.A. (XXXXXX) la cual nos sustrajo material de andamio Layher en vuestras instalaciones. […]”. Incluso admitiendo que SISTEMAS TUBULARES pudiera tener un interés legítimo en informar a la empresa cliente que se vio afectada por la sustracción del material -XXXXXXXX- que había interpuesto una denuncia por los hechos acaecidos, la información debería haberse limitado a comunicar, únicamente a la persona designada como interlocutor en el contrato con XXXXXXXX, el hecho mismo de la presentación de la denuncia. Sin embargo, SISTEMAS TUBULARES difunde indebidamente datos cuya confidencialidad está obligada a mantener cuando envía, no a un interlocutor, sino a ocho personas físicas, a sus respectivos correos corporativos, un mensaje en el que, sin necesidad de abrir el documento anexo, la copia de la denuncia, proporciona el nombre, los dos apellidos y la empresa en la que trabaja la persona frente a quien se presentó la denuncia policial. La difusión de los datos personales de la parte reclamante incumpliendo la obligación de confidencialidad se produce también cuando la administradora de SISTEMAS TUBULARES envía una copia de la denuncia policial presentada contra la reclamante -en la que figuraban numerosos datos personales, entre ellos su NIF y su número de móvil- a seis direcciones de correo corporativo de la empresa, de ellas cinco pertenecientes a personas físicas. Desde una de las direcciones de mail destinatarias de ese correo - ***EMAIL.1- se enviará, a su vez, el 01/10/2021, a ochos direcciones corporativas de su empresa cliente, XXXXXXXX, un mensaje en el que se difunden los datos personales de la parte reclamante. En cuanto al elemento subjetivo de la infracción, necesario para que nazca la responsabilidad sancionadora (artículo 28 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, LRJSP) se concreta en este caso en la falta de diligencia demostrada por la parte reclamada en el cumplimiento del principio de confidencialidad. La SAN, Sala de lo Contencioso-Administrativo, de 13/04/2005 (Rec. 230/2003), dando por sentado que la responsabilidad objetiva está proscrita en nuestro ordenamiento jurídico y que debe de respetarse siempre el principio de culpabilidad, dice lo siguiente: “En el caso presente es necesario tomar en consideración […] que cuando existe un deber especifico de vigilancia la culpa se integra por el simple incumplimiento del deber de vigilancia, sin que sea necesaria ninguna mayor acreditación a la hora de valorar si se ha producido la trasgresión del deber de guardar secreto. Este criterio resulta de sentencias como la de fecha 18 de Diciembre de 2002 (recurso 1096/2000) en un supuesto muy semejante al que ahora nos ocupa y cuyos argumentos son perfectamente trasladables al caso presente, según la cual "Pues bien, la conducta que configura el ilícito administrativo -artículo 44.2.
  46. e)dela Ley Orgánica 5/1992requiere la existencia de culpa, que se concreta, por lo que ahora interesa, en el simple incumplimiento del deber de guardar secreto, deber que se transgrede cuando se facilita información a terceros de los datos que sobre el titular de una cuenta bancaria dispone la entidad recurrente, (...) pues la entidad bancaria no observó una conducta diligente tendente a salvaguardar el expresado deber de secreto, y esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/17 conducta basta para consumar la infracción prevista en el citado artículo. En consecuencia, esa falta de diligencia configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente". (El subrayado es nuestro) Además, en virtud del principio de responsabilidad proactiva establecido en el artículo 5.2. del RGPD incumbe al responsable del tratamiento la obligación respetar los principios del artículo 5.1. del RGPD, por lo que aquí interesa, el de confidencialidad, así como la de poder acreditar su cumplimiento. Como ha manifestado el Gabinete Jurídico de la AEPD (entre otros, en los informes 17/2019 y 64/2020) el RGPD ha supuesto un cambio de paradigma al abordar la regulación del derecho a la protección de datos personales que pasa a fundamentarse en el principio de “responsabilidad proactiva”. En ese sentido, la exposición de motivos de la LOPDGDD dice que “la mayor novedad que presenta el Reglamento (UE) 2016/679 es la evolución de un modelo basado, fundamental-mente, en el control del cumplimiento a otro que descansa en el principio de responsabilidad activa, lo que exige una previa valoración por el responsable o por el encargado del tratamiento del riesgo que pudiera generar el tratamiento de los datos de carácter personal para, a partir de dicha valoración, adoptar las medidas que procedan”. La “esencia” de la “responsabilidad proactiva” -Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29),WP 173, emitido durante la vigencia de la Directiva 95/46/CEE pero cuyas reflexiones son aplicables en la actualidad- es la obligación del responsable del tratamiento de aplicar medidas que, en circunstancias normales, garanticen que en el contexto de las operaciones de tratamiento se cumplen las normas en materia de protección de datos y en tener disponibles documentos que demuestren a los interesados y a las Autoridades de control qué medidas se han adoptado para alcanzar el cumplimiento de las normas de protección de datos. En consideración a lo expuesto, se estima acreditado que la parte reclamada incurrió en una infracción del artículo 5.1.
  47. f)del RGPD, principio de confidencialidad, materializada en haber difundido a terceros datos personales de la parte reclamante cuya confidencialidad estaba obligada a garantizar. VIII Tipificación de la infracción del artículo 5.1.
  48. f)del RGPD La infracción del artículo 5.1.
  49. f)del RGPD, de la que se responsabiliza en esta resolución a SISTEMAS TUBULARES, se encuentra tipificada en el artículo 83.5.
  50. a)del RGPD, precepto que establece: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  51. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; […]” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/17 A los solos efectos de determinar el plazo de prescripción de las infracciones se toma en consideración el artículo 72 de la LOPDGDD que bajo la rúbrica “Infracciones consideradas muy graves”, indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: […]
  52. i)La vulneración del deber de confidencialidad establecido en el artículo 5 de esta ley orgánica.” IX Sanción. Infracción del artículo 5.1.
  53. f)RGPD Los poderes correctivos que el RGPD otorga a esta autoridad de control se detallan en el artículo 58.2 del RGPD, apartados
  54. a)a j). El precepto menciona entre ellos la potestad de imponer una multa administrativa con arreglo al artículo 83 del RGPD (artículo 58.2. i). Respecto a la infracción del artículo 5.1.
  55. f)del RGPD de la que se responsabiliza a SISTEMAS TUBULARES, esta resolución acuerda imponer como medida correctiva una sanción de multa administrativa (artículo 58.2.
  56. i)del RGPD). El artículo 83 del RGPD, “Condiciones generales para la imposición de multas administrativas”, dice en su apartado 1 que la autoridad de control garantizará que la imposición de multas por las infracciones del presente Reglamento indicadas en los apartados 4,5 y 6, cumpla, en cada caso individual, los principios de efectividad, proporcionalidad y carácter disuasorio. El principio de proporcionalidad obliga a que exista una correlación entre la infracción y la sanción, con interdicción de medidas innecesarias o excesivas, de manera que habrá de ser apta para alcanzar los fines que la justifican. En aras a garantizar la proporcionalidad de la sanción que pudiera imponerse se ha tomado en consideración que, según la información disponible, el volumen de negocio de la parte reclamada ascendió en el ejercicio 2021 a 3.616, 51€. Por otra parte, el artículo 83.2. del RGPD ofrece una relación de criterios o factores, que deben ser tenidos en cuenta para graduar el importe de la multa, con el propósito de adecuar la sanción de multa a la gravedad de la infracción cometida. En el acuerdo de apertura del expediente sancionador se hizo constar que, de conformidad con los criterios de los artículos 83.1. y 83.2 del RGPD, podría imponerse a SISTEMAS TUBULARES por la infracción del artículo 5.1.
  57. f)del RGPD, tipificada en el artículo 83.5.
  58. a)del RGPD, una multa administrativa por importe de 1.000€ (mil euros). La presente resolución acuerda imponer a SISTEMAS TUBULARES, como responsable de la infracción del artículo 5.1.
  59. f)del RGPD, tipificada en el artículo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/17 83.5.
  60. a)del RGPD, una sanción de multa administrativa por importe de 1.000€ (mil euros). Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a SISTEMAS TUBULARES DE INGENIERÍA CANARIAS, S.L., con NIF B76775808: 1. Por una infracción del artículo 5.1.
  61. e)del RGPD, tipificada en el artículo 83.5.
  62. a)del RGPD, una multa administrativa (artículo 58.2.i, del RGPD) por importe de 1.000€ (mil euros) 2. Por una infracción del artículo 5.1.
  63. f)del RGPD, tipificada en el artículo 83.5.
  64. a)del RGPD, una multa administrativa (artículo 58.2.i, del RGPD) por importe de 1.000€ (mil euros). SEGUNDO:NOTIFICAR la presente resolución a SISTEMAS TUBULARES DE INGENIERÍA CANARIAS, S.L., con NIF B76775808. TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el artículo 98.1.
  65. b)de la LPACAP, en el plazo de pago voluntario establecido en el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el artículo 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00 0000 0000 0000 0000 0000 (BIC/Código SWIFT: XXXXXXXXXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o el inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6 de la LOPDGDD y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o, directamente, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/17 recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que, conforme a lo previsto en el artículo 90.3
  66. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el artículo 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-250923 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.