← España

PS-00616-2017

1/21 Procedimiento Nº: PS/00616/2017 RESOLUCIÓN R/00962/2018 DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO En el procedimiento sancionador PS/00616/2017, instruido por la Agencia Española de Protección de Datos a la entidad FEDERACIÓN DE SERVICIOS PÚBLICOS DE LA UNIÓN GENERAL DE TRABAJADORES (FeSP-UGT), vista la denuncia presentada por Don B.B.B., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 18 de enero de 2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad FEDERACIÓN DE SERVICIOS PÚBLICOS DE LA UNIÓN GENERAL DE TRABAJADORES (FeSPUGT). SEGUNDO: Instruido el citado procedimiento sancionador, con 25 de abril de 2018 la instructora del mismo formuló la siguiente propuesta de resolución a la FeSP-UGT: <<Procedimiento nº.: PS/00616/2017 Mediante Acuerdo de fecha 18 de enero de 2018 se inició procedimiento sancionador nº PS/00616/2017 instruido por la Agencia Española de Protección de Datos a la FEDERACIÓN DE SERVICIOS PÚBLICOS DE LA UNIÓN GENERAL DE TRABAJADORES (FeSP-UGT) por presuntas infracciones a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y en base a los siguientes ANTECEDENTES PRIMERO: Consta en esta Agencia que con fecha 30/11/2012, tuvo entrada en esta Agencia Española de Protección de Datos un escrito de Don B.B.B. (en lo sucesivo el denunciante o FNR) en el que formuló una reclamación de tutela de derechos contra la Federación de Servicios Públicos de la Unión General de Trabajadores (en lo sucesivo FSP-UGT o FeSP-UGT) por no atender el derecho de cancelación de sus datos personales ejercitado por el mismo ante dicha entidad. Con su reclamación aportó copia de dos correos electrónicos remitidos a la Sección Sindical de la FSP-UGT en las Entidades Gestoras de la Seguridad Social, de fechas 31/10/2012 y 08/11/2012, en los que solicitó a la misma la baja en la lista de distribución o base de datos, para no recibir correos electrónicos en su dirección “ F.F.F.”. El primero de estos correos fue respondido por la citada Sección Sindical en la misma fecha del 31/10/2012, también mediante correo electrónico en el que se indica al denunciante lo siguiente: “Por la presente procedemos a dar curso inmediato a su petición, en lo sucesivo no recibirá más correos de esta Sección Sindical”. No obstante, según señaló el propio denunciante en la reclamación de tutela de derechos reseñada, con fechas 07 y 23/11/2012 recibió sendos correos electrónicos de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/21 entidad citada, de los que acompaña copia, con el asunto “UGT informa: concurso de letrados” y “Acción social – A la Administración no le salen las cuentas”, respectivamente. La reclamación reseñada dio lugar al expediente señalado con el número TD/00 T.T.T./2013, seguido contra la entidad FSP-UGT, por no haber sido debidamente atendido el derecho de cancelación de los datos personales del denunciante, dictándose resolución de 29/04/2013 en la que se acordó “ESTIMAR, por motivos formales, la reclamación formulada por D… (El denunciante) contra la entidad FEDERACIÓN DE SERVICIOS PÚBLICOS DE LA UGT (FSP-UGT). No obstante, no procede la emisión de nueva certificación por parte de dicha entidad, al haber quedado acreditado que ha cancelado los datos del reclamante”, que fue notificada a la entidad reclamada en fecha 06/05/2013. En dicha resolución se consideró acreditado que el reclamante solicitó la cancelación de su dirección de correo electrónico de la lista de distribución empleada por la sección sindical reclamada en fecha 31/10/2012 y que su solicitud fue contestada el mismo día, siendo la misma aceptada, si bien, con posterioridad recibió dos correos electrónicos del responsable del fichero posteriores, concretamente en fechas 07 y 23/11/2012. En consecuencia, la cancelación solicitada se hizo efectiva fuera del plazo legalmente previsto, procediendo estimar por motivos formales la reclamación de Tutela de Derechos al haber sido efectivamente cumplido el derecho de cancelación fuera del plazo legamente previsto. SEGUNDO: Consta que con fecha 02/12/2013, tuvo entrada en esta Agencia un escrito del denunciante en el manifestaba que la entidad FSP-UGT, el día 25/11/2013, a las 9:20 horas, remitió un nuevo correo electrónico a la dirección de correo que el citado sindicato indicó haber cancelado, es decir, la oficial de su puesto de trabajo, cuya copia aportó. El citado correo electrónico tenía como asunto “Informe situación denuncias acoso laboral AGE”. Este correo aparece suscrito por “FSP-UGT Seguridad Social” y adjunta un archivo de la “Secretaría Federal Sector AGE”. Como remitente figura “ O.O.O., en nombre de K.K.K.”. El escrito reseñado dio lugar a la incoación del procedimiento sancionador señalado con el número PS/00 S.S.S./2014, seguido contra la entidad FSP-UGT, por haber remitido con fecha 25/11/2013, sin consentimiento del denunciante, una nueva comunicación con información sindical a la cuenta de correo electrónico profesional del mismo, cuya baja de la lista de distribución o base de datos del Sindicato había sido solicitada con anterioridad por éste. Dicho procedimiento Sancionador fue resuelto con fecha 18 de marzo de 2015 por la Directora de la Agencia Española de Protección de Datos imponiendo una sanción de 1.500 € a la Federación de Servicios Públicos de la Unión General de Trabajadores, como responsable de la comisión de una infracción del artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal, en relación con el artículo 16 de la misma norma, tipificada como grave en el artículo 44.3.

  1. b)de la citada Ley, de conformidad con lo establecido en los artículos 1, 2, 4 y 5 de la mencionada Ley Orgánica. En la mencionada resolución se consideró que la entidad denunciada infringió la normativa de protección de datos ”al no hacer efectivo el deseo del denunciante a oponerse a recibir comunicaciones de aquella entidad remitidas mediante correo electrónico a la dirección señalada expresamente por el denunciante, así como a la cancelación de sus datos personales”, habida cuenta que “sin contar con el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/21 consentimiento del denunciante, ha efectuado un tratamiento de los datos personales del mismo que vulnera el principio del consentimiento recogido en el artículo 6 de la LOPD.” TERCERO: Con fecha 28/09/2017 ha tenido entrada en esta Agencia un escrito del denunciante en el que manifiesta que, a pesar de las resoluciones anteriormente citadas el día 21/03/2017, a las 11:04 y a las 11:12 horas, la FSP-UGT remitió a la dirección de correo oficial de su puesto de trabajo “ F.F.F.” dos nuevos correos electrónicos, cuya copia adjunta con sus correspondientes encabezados de Internet. El correo electrónico remitido a las 11:04 tiene como asunto “Reunión de la Comisión de Trabajo de Seguridad y Salud”, siendo su contenido el siguiente: “Compañeras/os: El próximo jueves día 24 se reunirá, en la Dirección Provincial de la Tesorería General de la Seguridad Social de Barcelona, la Comisión de Trabajo de Seguridad y Salud. El fin de este correo es que nos comuniquéis si tenéis alguna queja, sugerencia o propuesta para tratarla en la citada reunión. Os agradeceríamos, en su caso, que esa comunicación nos la hicierais llegar a través del buzón de A.A.A. Gracias. Saludos.” El correo electrónico remitido a las 11:12 tiene como asunto “Reunión de la Comisión de Trabajo de Seguridad y Salud (Subsanación de error)”, siendo su contenido el siguiente: “Perdonad el error. Es el próximo VIERNES día 24. Saludos” En ambos envíos aparece como remitente “ I.I.I.”, figurando en sus respectivos encabezamientos de Internet que fueron remitidos desde la cuenta de correo electrónico “ D.D.D. “ CUARTO: Con fecha 18 de enero de 2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la FEDERACIÓN DE SERVICIOS PÚBLICOS DE LA UNIÓN GENERAL DE TRABAJADORES (FeSP-UGT en la actualidad, antes FSP-UGT), por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, (en lo sucesivo LOPD), en su relación con el artículo 16 de la misma norma, tipificada como infracción grave en el artículo 44.3.
  2. b)de la citada Ley. En dicho acuerdo, que fue notificado a la FeSP-UGT con fecha 18 de enero de 2018, se señalaba que a los efectos previstos en el artículo 64.2.
  3. b)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, (en adelante LPACAP), y sin perjuicio de lo que resultase de la instrucción, la sanción que pudiera corresponder por dicha infracción sería de 4.000 € (Cuatro mil euros), informándose también de las reducciones previstas en los apartados 1 y 2 del artículo 85 de la citada LPACAP. QUINTO: Notificado el acuerdo de inicio, con fecha 29 de enero de 2018 se registra de entrada en esta Agencia escrito del Secretario de Organización de la FeSP-UGT solicitando el archivo del procedimiento con arreglo a los siguientes argumentos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/21 - Con posterioridad a la resolución de la TD/00 T.T.T./2013, - en la que se señalaba que procedía la estimación de la reclamación al haber sido efectivamente cumplido el derecho de cancelación fuera del plazo legalmente previsto-, FeSP-UGT solicito con fecha 20 de agosto de 2013 al Ministerio de Empleo y Seguridad Social la asignación del denominado buzón de grupo, el cual fue autorizado mediante resolución de fecha de 8 de mayo de 2014. En el literal
  4. b)de dicha resolución se disponía que el buzón de grupo estaría a cargo de Don H.H.H., en adelante ***, quien lo ha gestionado de conformidad con las instrucciones sobre el uso del sistema de correo electrónico por parte de las organizaciones sindicales con representación en el ámbito de la Seguridad Social. - FeSP-UGT no dispone de datos de carácter personal del denunciante en sus bases de datos tras hacer efectivo su derecho de cancelación, motivo por el que no ha recibido más comunicaciones por parte de UGT. Los datos de carácter personal del mismo fueron bloqueados y eliminados de las listas de distribución propias de la Organización. -El listado de correos electrónicos de los miembros de la Seguridad Social se encuentran disponibles en la intranet de dicho Órgano para cualquier usuario de los sistemas de información, posibilitando la utilización de las cuentas de correo de forma arbitraria. -El envío de fecha 21 de marzo de 2017 aportado por el denunciante, presuntamente remitido por la Federación de Servicios Públicos de la UGT-Seguridad Social, con el asunto 'Reunión de la Comisión de Trabajo de Seguridad y Salud", figura como remitente D.D.D.@seg-social.es, siendo ésta una cuenta corporativa propia de la Seguridad Social otorgada a cada uno de sus trabajadores. Este usuario y buzón de origen no se encuentran actualmente autorizados por parte ni de la Federación ni de la Seguridad Social para realizar envíos de información sindical en nombre de FeSP-UGT o la Organización en general (UGT). Los envíos realizados por FeSP-UGT se efectúan bajo la autorización de la Seguridad Social y siguiendo las pautas preestablecidas por la misma. En base a esto, FeSP-UGT sólo utiliza para la remisión de información sindical la cuenta "SECCIÓN SINDICAL. UGT" “u P.P.P. Q.Q.Q.seg-social.es”, cuya lista de distribución es continuamente actualizada y su usuario está autorizado por la Seguridad Social. La UGT no tiene control sobre la información que se remita a través de las cuentas de correo electrónico corporativas propias de los trabajadores, por lo que no puede responsabilizarse sobre el uso y manejo de las mismas. - Se recalca el esfuerzo realizado para adecuar la actividad a la LOPD, y, en particular, al cumplimiento de los derechos de acceso, rectificación, cancelación y oposición de los trabajadores sobre sus datos (derechos ARCO). Entre las acciones desarrolladas, FeSP-UGT destaca las siguientes:
  5. a)Informa a los destinatarios de los correos electrónicos que contienen información sindical mediante cláusulas de información que informan a los interesados de sus ejercicios de derecho;
  6. b)Mantiene un listado actualizado de titulares de datos personales que han ejercido su derecho de cancelación u oposición a efectos de garantizar la efectiva atención del ejercicio de los derechos de dichos titulares y ante todo, el respeto de los mismos mediante su exclusión de los envíos que se realicen;
  7. c)Ha publicado en la Intranet de FeSP-UGT diversa documentación en materia de Protección de Datos dirigida a la concienciación de sus miembros, entre las que destaca el Documento de Seguridad de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/21 Organización así como el Manual de Funciones y Obligaciones de los usuarios de los sistemas de información; d)Ha llevado a cabo las correspondientes Auditorías Bienales de Protección de Datos de Carácter Personal; e)Ha ejecutado diversas acciones formativas en materia de protección de datos de carácter personal como parte de la concienciación en la materia a los usuarios de sus sistemas de información, que, a su vez, se han publicado en la intranet de la organización para promover su difusión en el Grupo;
  8. f)UGT está llevando a cabo importantes acciones en aras de lograr una óptima adecuación en tiempo a todas las disposiciones del RGPD. SEXTO: Con fecha 30 de enero de 2018 se inició un período de práctica de pruebas, en cuyo marco se acordó practicar las siguientes pruebas: 5.1- Incorporar al expediente del procedimiento arriba indicado, y por tanto dar por reproducida a efectos probatorios, la denuncia interpuesta por el denunciante y su documentación adjunta; copia de las resoluciones acordadas en los procedimientos TD/00 T.T.T./2013 y PS/00 S.S.S./2014. Asimismo, se dan por reproducidas a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento PS/00616/2017 presentadas por el Secretario de la FeSP-UGT. 5.2- Solicitar a la FeSP-UGT contestación a los siguientes extremos y aportación de la documentación que a continuación se señala: - Envío de los Anexos 1, 2, 3 y 4 citados en el escrito de alegaciones, toda vez que no han sido remitidos junto al mismo. - Remisión de copia de la resolución de fecha 8 de mayo de 2014 mediante la cual se autorizaba la creación de un buzón de los denominados de grupo. - Remisión del listado de usuarios autorizados en la FeSP-UGT y en la organización sindical UGT para realizar envíos de información sindical en la fecha de los hechos denunciados (21 de marzo de 2017). - Vinculación de la FeSP-UGT con el buzón E.E.E.). Se observaba que dicho buzón estaba asociado al correo electrónico con información sindical remitido al denunciante con fecha 25/11/2013, conforme figura en el Hecho Probado 6 de la resolución acordada por la AEPD con fecha 18/03/2015 en el PS/00 S.S.S./2014. -Envío de documentación acreditativa de los usuarios autorizados para utilizar el buzón de E.E.E.), en particular durante el primer trimestre de 2017. - Remisión de copia del listado actualizado de empleados públicos que han ejercido su derecho de oposición y/o cancelación para ser excluidos de este tipo de envíos utilizado en la fecha de los hechos denunciados. - Remisión de documentación acreditativa de las medidas señaladas en la alegación Tercera como adoptadas por esa Federación a los efectos de dar cumplimiento de los derechos ARCO. En cualquier caso, se solicita remisión de copia del listado actualizado de titulares de datos personales que han ejercido su derecho de cancelación y/o oposición para ser excluidos de este tipo de envíos utilizado en la fecha de los hechos denunciados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/21 -Indicación de si con fecha 24 de marzo de 2017 se celebró en la Dirección Provincial de la Tesorería General de la Seguridad Social de Barcelona la reunión de la Comisión de trabajo de Seguridad y Salud que se cita en el envío denunciado, en cuyo caso se solicita remisión de copia del contenido de los correos electrónicos que fueron remitidos por esa Federación a los empleados/as con anterioridad a su celebración. - Aclaración de si Don J.J.J. forma parte de la Comisión de Trabajo de Seguridad y Salud que aparece citada en el envío aportado por el denunciante o, en su caso, si pertenece a cualquier otro órgano de esa Federación o de la organización sindical UGT. - Acreditación mediante cualquier medio de prueba válido en derecho del alegato consistente en que la “FeSP-UGT no dispone de datos de carácter personal en sus bases de datos de Don FNR tras hacer efectivo su derecho de cancelación, no recibiendo más comunicaciones por parte de UGT. Los datos de carácter personal que constaban fueron bloqueados y eliminados de las listas de distribución propias de la Organización” - Justificación de que la cuenta de correo electrónico D.D.D.@seg-social.es estaba disponible en la Intranet de la Seguridad Social en la fecha de los hechos y de la información que aparecía asociada a dicha cuenta. Con fecha 31 de enero de 2017 se notifican a la FeSP-UGT práctica se ha acordado. las pruebas cuya SÉPTIMO: Con fecha 1 de febrero de 2018 se registra de entrada escrito de la FeSPUGT solicitando se proceda a aceptar la presentación de las pruebas ya aportadas con fecha 30 de enero de 2018 y confirmando que “no queda ninguna acción pendiente por parte de FeSP-UGT”. OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes hechos probados: 1. El denunciante, funcionario de carrera adscrito a la Tesorería General de la Seguridad Social, destinado en la Unidad de Recaudación Ejecutiva nº 08/04, es usuario de la dirección de correo electrónico corporativa “ F.F.F.”. 2. Con fechas 31 de octubre y 8 de noviembre de 2012, el denunciante ejerció derecho de cancelación frente a la Sección Sindical de la FSP-UGT en las Entidades Gestoras de la Seguridad Social, solicitando a la misma “la baja en la lista de distribución o base de datos, para no recibir correos electrónicos en su dirección “ F.F.F.”. 3. Con fecha 31 de octubre de 2012, la Sección Sindical de la FSP-UGT en las Entidades Gestoras de la Seguridad Social contestó al correo electrónico del denunciante de misma fecha indicando al denunciante lo siguiente: “Por la presente procedemos a dar curso inmediato a su petición, en lo sucesivo no recibirá más correos de esta Sección Sindical”. 4. Con fechas 7 y 23 de noviembre de 2012, el denunciante recibió sendos correos electrónicos de la Sección Sindical de la FSP-UGT en las Entidades Gestoras de la Seguridad Social, con el asunto “UGT informa: concurso de letrados” y “Acción social – A la Administración no le salen las cuentas”, respectivamente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/21 5. Con fecha 30 de noviembre de 2012, el denunciante formuló ante la AEPD una reclamación de tutela de derechos contra la entidad FSP-UGT por no atender el derecho de cancelación de sus datos personales ejercitado por el mismo ante dicha entidad. Esta reclamación dio lugar a la tramitación del procedimiento de tutela de derechos TD/00 T.T.T./2013, que se resolvió con fecha 29 de abril de 2013 acordando estimar, por motivos formales, la reclamación formulada por el reclamante (el denunciante) contra la FSP-UGT, al considerarse acreditado que éste solicitó la cancelación de su dirección de correo electrónico de la lista de distribución empleada por la Sección Sindical de la FSP-UGT en las Entidades Gestoras de la Seguridad Social y que la cancelación solicitada se hizo efectiva fuera del plazo legalmente previsto. 6. Con fecha 2 de diciembre de 2013 tiene entrada en esta Agencia escrito del denunciante comunicando la recepción de un nuevo envío, de fecha 25 de noviembre de 2013, con información sindical en la cuenta de correo electrónico corporativa que la FSP-UGT manifestó haber cancelado. Este envío, con asunto “Informe situación denuncias acoso laboral AGE”, aparecía suscrito por “FSP-UGT Seguridad Social” y adjuntaba un archivo de la “Secretaría Federal Sector AGE”. Como remitente figuraba “ O.O.O., en nombre de K.K.K.”. La citada denuncia dio lugar a la tramitación por la AEPD del procedimiento sancionador nº PS/00 S.S.S./2014 contra la entidad FSP-UGT, que fue resuelto con fecha 18 de marzo de 2015 con la imposición de una sanción de 1.500 € a dicha entidad. En dicha resolución se consideró que la entidad denunciada infringió la normativa de protección de datos ”al no hacer efectivo el deseo del denunciante a oponerse a recibir comunicaciones de aquella entidad remitidas mediante correo electrónico a la dirección señalada expresamente por el denunciante, así como a la cancelación de sus datos personales”, habida cuenta que “sin contar con el consentimiento del denunciante, ha efectuado un tratamiento de los datos personales del mismo que vulnera el principio del consentimiento recogido en el artículo 6 de la LOPD.” 7. Con fecha 28 de septiembre de 2017 tiene entrada en la AEPD escrito del denunciante manifestando que, con fecha 21 de marzo de 2017, recibió en su cuenta de correo electrónico profesional dos nuevos envíos con información sindical de la FeSP-UGT remitidos por “ I.I.I.”. El correo electrónico remitido a las 11:04 de dicho día por la FeSP-UGT, con asunto “Reunión de la Comisión de Trabajo de Seguridad y Salud”, informaba lo siguiente: “Compañeras/os: El próximo jueves día 24 se reunirá, en la Dirección Provincial de la Tesorería General de la Seguridad Social de Barcelona, la Comisión de Trabajo de Seguridad y Salud. El fin de este correo es que nos comuniquéis si tenéis alguna queja, sugerencia o propuesta para tratarla en la citada reunión. Os agradeceríamos, en su caso, que esa comunicación nos la hicierais llegar a través del buzón de A.A.A. Gracias. Saludos.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/21 El correo electrónico remitido a las 11:12 de dicho día por la FeSP-UGT, con asunto “Reunión de la Comisión de Trabajo de Seguridad y Salud (Subsanación de error)”, informaba lo siguiente: “Perdonad el error. Es el próximo VIERNES día 24. Saludos” En las cabeceras de Internet de ambos desde la dirección de correo electrónico “ D.D.D.“ envíos consta que fueron remitidos FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  9. g)en relación con el artículo 36 de la LOPD. II El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma el artículo 2.1 de la misma señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”. El concepto de dato de carácter personal aparece definido en el artículo 3.
  10. a)de la LOPD, como: “Cualquier información concerniente a personas físicas identificadas o identificables”, señalándose en el artículo 5.1.
  11. f)del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, en adelante RDLOPD como datos de carácter personal: “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a personas físicas identificadas o identificables”. En el apartado 1.
  12. o)se define persona identificable, como “toda persona cuya identidad pueda determinase, directa o indirectamente, mediante cualquier comunicación referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados” Por otra parte, en relación con los hechos que se imputan en el presente procedimiento, se hace necesario, en primer lugar, transcribir diversos conceptos que se acuñan en el artículo 3 de la LOPD: “
  13. b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.
  14. c)Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.
  15. d)Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/21 pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.
  16. e)Afectado o interesado: Persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
  17. c)del presente artículo.
  18. f)Procedimiento de disociación: Todo tratamiento de datos personales de modo que la información que se obtenga no pueda asociarse a persona identificada o identificable.
  19. h)Consentimiento del interesado: Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. En el presente caso, con carácter previo al estudio del fondo del asunto, procede analizar si la dirección de correo electrónico corporativa del denunciante en la que recibió los envíos de fecha 21 de marzo de 2017 es un dato de carácter personal. En relación con dicho asunto es criterio reiterado de esta Agencia sostenido en numerosa resoluciones que la dirección de correo electrónico de una persona física puede ser considerada dato personal. A la vista de las definiciones anteriores, se deduce que la dirección de correo electrónico, considerando que contiene información acerca de su titular, o en la medida en que permita proceder a la identificación del mismo sin esfuerzos desproporcionados, ha de ser considerada como dato de carácter personal y su tratamiento sometido a la LOPD, por lo que, con carácter general, no será posible su utilización o cesión si el interesado no ha dado su consentimiento para ello o si, como en el caso que nos ocupa, ha mostrado su negativa a su utilización. Debe añadirse, evidentemente, que si junto con la dirección de correo electrónico aparecieran otros datos que permitieran la identificación del sujeto (tales como su nombre y apellidos, su número de teléfono o su domicilio, conjunta o separadamente), la identificación sería absoluta y no se plantearía duda de que nos encontramos ante un supuesto de tratamiento de datos de carácter personal. Ratifica dicho criterio la Sentencia de la Audiencia Nacional de fecha 15 de enero de 2011, Rec. 297/2010, en relación con un expediente sancionador tramitado también por la AEPD por el tratamiento inconsentido de la dirección de correo electrónico profesional de una persona física, y en la que se indicaba: “En relación con la dirección de correo electrónico, esta Sala ha considerado en las SSAN, Sec. 1ª, de 23 de marzo 2006 (Rec. 911/2033) y de 25 de mayo de 2006 (Rec. 536/2044), que la dirección de correo electrónico de la que es titular una persona física, constituye una información que le concierne, que le afecta, y que forma parte del ámbito de su privacidad protegido por la Ley de Protección de Datos, siéndole plenamente aplicable su régimen jurídico. En dichos procedimientos se argumentaba que en los supuestos a los que se referían la dirección de correo electrónico no recogía el nombre y apellidos de su titular y no tenía vinculación con su identidad, por lo que no debería considerarse como dato de carácter personal, pero ello fue desestimado por las citadas sentencias. En concreto, la SAN de 25 de mayo de 2006 especificaba que la dirección de correo electrónico de que es titular una persona física constituye un dato personal porque “con independencia de que la denominación de la dirección corresponda o no con el nombre y apellido de su titular, país o empresa en la que trabaja, lo cierto es que se puede mediante una operación nada difícil, identificar perfectamente a una persona física, ya que esa dirección C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/21 de correo electrónica aparecerá vinculada a un dominio concreto, por lo que sólo será necesario consultar al servidor en que se gestione dicho servicio. Es más esta Sala , en un caso como el número del Documento Nacional de Identidad, que en principio no tiene aparente relación externa con el nombre y apellido de su titular, ha entendido que es un dato de carácter personal amparado por la LOPD en la sentencia de 27 de octubre de 2044 (Rec. T.T.T./2002). Por tanto, la dirección de correo electrónico de una persona física, en la medida que permite identificar a su titular sin plazos ni actividades desproporcionadas, constituye un dato personal y su tratamiento en casos como el presente, y sin perjuicio de las previsiones específicas establecidas por la Ley de Servicios de Sociedad de la Información para otros supuestos, está sometido a las previsiones de la LOPD. En el caso de autos, la dirección de correo electrónico que la Asociación recurrente tenía registrada en sus ficheros era xxx@laboratoriosYYY.com que, en contra de lo alegado por la recurrente, no es una dirección de correo electrónico de una persona jurídica, en concreto de los Laboratorios YYY S.L., sino de una persona física, el denunciante D. (nombre y primer apellido). A mayor abundamiento, en el presenta caso la dirección aparece conformada por el nombre de la persona física titular de la misma. Se trata de la dirección de correo de una persona física en los laboratorios donde presta sus servicios, viene referida a dicha persona física, tratándose de su dirección profesional. Esta Sala ha reiterado que el dato del afectado, aunque se refiera al lugar de ejerció de su profesión, es un dato de una persona física con una actividad profesional, cuya protección cae en la órbita de la citada Ley Orgánica 15/1999, SAN, Secc. 1ª de 3 de octubre de 2007 (Rec. 163/2006)Además, cabe señalar que el tratamiento que hizo la Asociación recurrente de la citada dirección de correo para remitir el video y comunicado en cuestión, no guarda relación con la actividad de los citados laboratorios, sino que hace referencia a una cuestión referente a un ámbito distinto, estrictamente privado o personal que trasciende el ámbito de la citada entidad y de la actividad profesional del denunciante.” En este caso, la dirección de correo electrónico objeto de tratamiento está compuesta por el nombre y primer apellido del denunciante, por lo que se trata de un dato de carácter personal hace identificable al usuario de dicha cuenta, en este caso el denunciante. III En este caso se considera que la FeSP-UGT está sometida al régimen sancionador de la LOPD en tanto que responsable del tratamiento analizado. Así, el 43.1 de la LOPD establece que “Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley”, definiéndose en el artículo 3.
  20. d)de la citada norma como “Responsable del fichero o tratamiento” “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. De lo actuado en el procedimiento se evidencia que dicha Federación ha determinado, en el marco del derecho a la actividad sindical que ostenta, la finalidad concreta (envío de información de interés sindical) para la que iban a utilizarse las direcciones de correo electrónico contenidas en el fichero que la Gerencia de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/21 Informática de la Seguridad Social (GISS) cedió a la central sindical UGT después de la resolución de la Subdirección General de Ordenación y Desarrollo de los Recursos Humanos de los Organismos Autónomos y de la Seguridad Social (Ministerio de Empleo y Seguridad Social), de fecha 8 de mayo de 2014, en virtud de la cual se autorizaba la creación de un buzón de grupo, conforme se desprende de los literales
  21. a)y
  22. c)de dicha resolución. Asimismo, la FeSP-UGT ha estableciendo el contenido de los mensajes remitidos a los titulares de esas direcciones de correo electrónico corporativas cedidas por la GISS, la cual, según figura en el literal
  23. c)de la resolución citada, comunica a la central sindical con periodicidad mensual las altas y bajas habidas en ese período a la organización sindical, según figura en el literal
  24. c)de la resolución citada. IV El artículo 6 de la LOPD dispone siguiente: en cuanto al “Consentimiento del afectado” lo “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son, pues, elementos característicos del derecho fundamental a la protección de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/21 datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El artículo 6 del Reglamento General de Protección de Datos, Reglamento (UE) 2016/679, norma aplicable a partir del 25 de mayo de 2018, establece que el tratamiento de datos personales “solo será lícito si se cumple la menos una de las siguientes condiciones”: “
  25. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno varios fines específicos;
  26. b)el tratamiento es necesario para la ejecución de un contrato en el que le interesado es parte o para la aplicación a petición de este de medidas precontractuales” ” (…); fijando en su artículo 7.1) en relación con el consentimiento del interesado que “el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales A su vez, el artículo 12 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (en adelante RLOPD), establece los siguientes “Principios generales” en cuanto a la “Obtención del consentimiento del afectado”: “1. El responsable del tratamiento deberá obtener el consentimiento del interesado para el tratamiento de sus datos de carácter personal salvo en aquellos supuestos en que el mismo no sea exigible con arreglo a lo dispuesto en las leyes. La solicitud del consentimiento deberá ir referida a un tratamiento o serie de tratamientos concretos, con delimitación de la finalidad para los que se recaba, así como de las restantes condiciones que concurran en el tratamiento o serie de tratamientos. 2. Cuando se solicite el consentimiento del afectado para la cesión de sus datos, éste deberá ser informado de forma que conozca inequívocamente la finalidad a la que se destinarán los datos respecto de cuya comunicación se solicita el consentimiento y el tipo de actividad desarrollada por el cesionario. En caso contrario, el consentimiento será nulo. 3. Corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho. Por lo cual, corresponde siempre al responsable del tratamiento comprobar que cuenta con el consentimiento del afectado cuando realiza algún tratamiento con los datos personales del mismo o constatar, en su caso, que se produce alguna de las excepciones al consentimiento previstas por la normativa vigente, puesto que debe estar en disposición de justificar tales circunstancias. Por otra parte, el artículo 16.1 de la LOPD establece lo siguiente: “1. El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días. 2. Serán rectificados o cancelados, en su caso, los datos de carácter personal cuyo tratamiento no se ajuste a lo dispuesto en la presente Ley y, en particular, cuando tales datos resulten inexactos o incompletos. 3. La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones Públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión. 4. Si los datos rectificados o cancelados hubieran sido comunicados previamente, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/21 el responsable del tratamiento deberá notificar la rectificación o cancelación efectuada a quien se hayan comunicado, en el caso de que se mantenga el tratamiento por este último, que deberá también proceder a la cancelación. 5. Los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado”. Determinando los apartados 2 y 3 del artículo 32 del RLOPD que: “2. El responsable del fichero resolverá sobre la solicitud de rectificación o cancelación en el plazo máximo de diez días a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre. En el caso de que no disponga de datos de carácter personal del afectado deberá igualmente comunicárselo en el mismo plazo. 3. Si los datos rectificados o cancelados hubieran sido cedidos previamente, el responsable del fichero deberá comunicar la rectificación o cancelación efectuada al cesionario, en idéntico plazo, para que éste, también en el plazo de diez días contados desde la recepción de dicha comunicación, proceda, asimismo, a rectificar o cancelar los datos. La rectificación o cancelación efectuada por el cesionario no requerirá comunicación alguna al interesado, sin perjuicio del ejercicio de los derechos por parte de los interesados reconocidos en la Ley Orgánica 15/1999, de 13 de diciembre.” En el mismo sentido, el RLOPD, en su artículo 34.
  27. a)establece que: “El derecho de oposición es el derecho del afectado a que no se lleve a cabo el tratamiento de sus datos de carácter personal o se cese en el mismo en los siguientes supuestos:
  28. a)Cuando no sea necesario su consentimiento para el tratamiento, como consecuencia de la concurrencia de un motivo legítimo y fundado, referido a su concreta situación personal, que lo justifique, siempre que una Ley no disponga lo contrario”. Añadiendo el artículo 35 del mismo RLOPD que: “1. El derecho de oposición se ejercitará mediante solicitud dirigida al responsable del tratamiento. Cuando la oposición se realice con base en la letra
  29. a)del artículo anterior, en la solicitud deberán hacerse constar los motivos fundados y legítimos, relativos a una concreta situación personal del afectado, que justifican el ejercicio de este derecho. 2. El responsable del fichero resolverá sobre la solicitud de oposición en el plazo máximo de diez días a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre. En el caso de que no disponga de datos de carácter personal de los afectados deberá igualmente comunicárselo en el mismo plazo. 3. El responsable del fichero o tratamiento deberá excluir del tratamiento los datos relativos al afectado que ejercite su derecho de oposición o denegar motivadamente la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/21 solicitud del interesado en el plazo previsto en el apartado 2 de este artículo”. V El presente procedimiento tiene por objeto dirimir si el tratamiento realizado por la FeSP-UGT con la dirección de correo electrónico corporativa o profesional del denunciante ha podido suponer una vulneración del principio del consentimiento recogido en el mencionado artículo 6.1 de la LOPD en su relación con lo dispuesto en el artículo 16 del RLOPD. Para ello, conviene traer a colación la Resolución de 16 de octubre de 2012, de la Secretaría de Estado de la Seguridad Social, por la que se dictan instrucciones sobre el uso del sistema de correo electrónico por parte de las organizaciones sindicales con representación en el ámbito de la Seguridad Social, invocada por FeSP-UGT, en la que se establece que cada organización sindical será responsable del fichero donde consten las direcciones de correo electrónico y que se comprometerá al cumplimiento de los derechos de acceso, rectificación, oposición de los trabajadores respecto de sus datos (derechos ARCO). Esta misma norma señala, además, que la solicitud de baja ejercida por el reclamante se encuentra regulada por la normativa vigente en materia de protección de datos. Por lo que si bien la denunciada no precisaba, en un principio, el consentimiento previo del afectado para el tratamiento de sus datos para remitirle información sindical, una vez recibidas las solicitudes de cancelación del denunciante referidas a su correo electrónico corporativo, y que se citan más adelante, la FeSP-UGT debió atender dicho derecho en forma efectiva en su condición tanto de responsable del fichero como de responsable del tratamiento realizado en relación con la cuenta de correo electrónico en cuestión. Así, de la valoración del conjunto de elementos de prueba obrantes en el procedimiento se desprende que, con fecha 21 de marzo de 2017, la FeSP-UGT trató el correo electrónico corporativo del denunciante “ F.F.F.” (dato de carácter personal) para enviarle dos comunicaciones relacionadas con la celebración de una reunión de la Comisión de Trabajo de Seguridad y Salud (información sindical) sin mediar el consentimiento del mismo para ello, toda vez que dichos envíos se produjeron con posterioridad a que el denunciante hubiera solicitado la baja de la referida cuenta de correo en la lista de distribución o base de datos para no recibir envíos en esa concreta dirección corporativa, de la que es usuario. Consta en el procedimiento que el denunciante ejerció con fechas 31 de octubre y 8 de noviembre de 2012 su derecho de cancelación de datos ante dicha organización sindical con la finalidad descrita, el primero de los cuales fue contestado con esa misma fecha confirmándole que en lo sucesivo no recibiría más correos, si bien con fechas 7 y 23 de noviembre de 2012 recibió dos nuevos envíos en la citada cuenta de correo electrónico con información sindical, lo que dio lugar a la formulación por su parte de una reclamación ante la AEPD para que su solicitud fuese atendida en forma efectiva, tramitándose a consecuencia de la misma el procedimiento de tutela de derechos señalado con el número TD/00 T.T.T./2013. La denunciada mantiene que tras haber hecho efectivo el derecho de cancelación ejercido por el denunciante, como se reconoce en la resolución de la citada C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/21 Tutela de Derechos, de fecha 29 de abril de 2013, no se han remitido más comunicaciones por parte de FeSP-UGT, puesto que no dispone de datos de carácter personal del denunciante tras haber sido bloqueados y eliminados de sus listas de distribución. Añade que los correos denunciados no se remitieron por el usuario ni desde el buzón de grupo autorizados por la Seguridad Social en su resolución de fecha 8 de mayo de 2014. Respecto de dichas alegaciones debe reseñarse que la cuestión de fondo del presente procedimiento sancionador radica en analizar si la cancelación de los datos del denunciante a la que se refiere la resolución del procedimiento de Tutela de Derechos nº TD/00 T.T.T./2013, de fecha 29 de abril de 2013, ha sido respetada efectivamente con posterioridad a la misma. Téngase en cuenta que, a pesar de lo alegado por la FeSPUGT, consta que con fecha 21 de marzo de 2017 la entidad denunciada remitió a la dirección de correo electrónico corporativa del denunciante dos nuevos envíos con información sindical en contra de su voluntad, ya que éste había ejercido con fechas 31 de octubre y 8 de noviembre de 2012 su derecho de cancelación solicitando que dicha cuenta fuera dada de baja para no continuar recibiendo envíos en la misma. A lo que se añade que en el procedimiento sancionador nº PS/00 S.S.S./2014 se acreditó por esta Agencia que la FeSP-UGT trató, con fecha 25 de noviembre de 2013, el correo electrónico corporativo del denunciante para enviarle, sin su consentimiento, un correo electrónico con información sindical, es decir, después de que con fecha 31 de octubre de 2012 hubiera confirmado al denunciante que atendía su solicitud de cancelación indicándole que “en lo sucesivo no recibirá más correos de esta Sección Sindical”, así como con posterioridad a la resolución del procedimiento de Tutela de Derechos nº TD/00 T.T.T./2013, de fecha 29 de abril de 2013. Por otra parte, la circunstancia alegada de que los envíos denunciados no se remitieran desde el buzón de grupo cuya creación se autorizó con fecha 8 de mayo de 2014, por la Subdirectora General de Ordenación y Desarrollo de los Recursos Humanos de los Organismos Autónomos y de la Seguridad Social, para el ámbito “Entidades Gestoras y Servicios Comunes de la Seguridad Social, ni por el responsable del mismo (Don ***) o por el usuario autorizado (Don L.L.L.), no enerva que los envíos se llevaran a cabo desde una lista de distribución utilizada por la FeSP-UGT en la que continuaba incluido el correo electrónico corporativo del denunciante. Sobre este particular, se tienen en cuenta las siguientes circunstancias: que el asunto y contenido de ambos correos se vinculan con una reunión de la Comisión de Trabajo de Seguridad y Salud a celebrar en la Dirección Provincial de la Tesorería General de la Seguridad Social; que en el correo electrónico remitido a las 11:04 horas aparece el logotipo o símbolo de la FeSP-UGT, Seguridad Social, indicándose en el mismo que las quejas, sugerencias o propuestas que fueran a ser realizadas por los destinatarios para su tratamiento en la citada reunión se comunicasen “a través del buzón de A.A.A.”, que resulta ser el mismo que aparecía asociado al remitente del correo electrónico recibido por el denunciante con fecha 25 de noviembre de 2013, conforme figura en el Hecho Probado 6 de la resolución acordada por la AEPD con fecha 18/03/2015 en el mencionado PS/00 S.S.S./2014. Todo lo cual, lleva a apreciar que los correos denunciados se enviaron desde el buzón de C.C.C. utilizado por la denunciada para enviar información sindical; en la autorización de fecha 8 de mayo de 2014 no consta que la única cuenta de correo electrónica desde la que la organización sindical UGT pueda remitir información sindical sea “ N.N.N.seg-social.es”. A mayor abundamiento, lo determinante en este caso es la utilización del dato C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/21 personal del denunciante en contra de la negativa expresa manifestada por el mismo, conforme ya se ha razonado. Es igualmente importante que los dos envíos estudiados se realizan en el ámbito de responsabilidad de FeSP-UGT, desde un buzón de correo, el identificado como G.G.G., asignado a dicha entidad y cuyo control, en consecuencia, corresponde a la misma, incluida la adopción de medidas adecuadas para evitar su uso por personas no autorizadas. Por todo lo cual, a la vista de dichas circunstancias cabe afirmar que la denunciada, en contra de sus afirmaciones, no ha procedido a bloquear o suprimir la cuenta de correo electrónico corporativa o profesional del denunciante de todas las listas de distribución propias de la organización, como debería haber llevado a cabo de conformidad con lo dispuesto en el artículo 16.3 de la LOPD, usando, por tanto, dicho dato de carácter personal del afectado para enviarle los dos envíos de fecha 21 de marzo de 2017. De este modo, en nada modifica la autoría y responsabilidad de la denunciada en el tratamiento del dato del correo electrónico corporativo del denunciante sin consentimiento del mismo, el que en la Intranet de la Seguridad Social se encuentre disponible un listado de correos electrónicos corporativos de sus miembros, máxime cuando no ha aportado ningún elemento de prueba que permita vincular dicha publicación con los hechos concretos que nos ocupan. En consecuencia, la FeSP-UGT ha vulnerado el artículo 6.1 de la LOPD, en relación con el artículo 16.1 de la misma norma, considerando que ha efectuado un tratamiento de los datos personales del denunciante sin contar con el consentimiento del mismo para ello, puesto que ha utilizado la dirección de correo electrónico profesional o corporativa del afectado después de que éste ejerciera ante la misma el derecho de cancelación de datos, lo que afecta al envío de información sindical a dicha cuenta fuera de los períodos de elecciones sindicales. VI El artículo 44.3.
  30. b)de la LOPD tipifica como infracción grave: “
  31. b)Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” El principio cuya vulneración se imputa a la entidad FeSP-UGT, el del consentimiento, se configura como principio básico en materia de protección de datos, y así se recoge en numerosas Sentencias de la Audiencia Nacional. En función de lo expuesto, la entidad FeSP-UGT ha incurrido, a título de culpa, en la infracción descrita ya que ha vulnerado el citado principio, consagrado en el artículo 6.1 de la LOPD, al utilizar, con fecha 21/03/2017 el correo electrónico del denunciante para remitirle dos mensajes con información sindical sin mediar el consentimiento del mismo, lo que encuentra su tipificación en el artículo 44.3.
  32. b)de la citada Ley Orgánica. VII El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/21 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  33. a)El carácter continuado de la infracción.
  34. b)El volumen de los tratamientos efectuados.
  35. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  36. d)El volumen de negocio o actividad del infractor.
  37. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  38. f)El grado de intencionalidad.
  39. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  40. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  41. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  42. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  43. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  44. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  45. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  46. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  47. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” El artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”, pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En este caso, se considera C/ Jorge Juan, 6 28001 – Madrid que, de conformidad con el artículo 45.5 LOPD, www.agpd.es sedeagpd.gob.es 18/21 procede la aplicación de la escala de sanciones que precede inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso, por la concurrencia del supuesto previsto en el punto
  48. a)del citado artículo, que establece: “Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo”. A este respecto, se entiende que se produce una cualificada disminución de la culpabilidad de FeSP-UGT al concurrir en forma significativa los siguientes criterios:
  49. d)El volumen de negocio o actividad del infractor. Se considera que el tratamiento efectuado no genera negocio al infractor.
  50. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción. No consta la existencia de beneficios al no estar relacionado el tratamiento efectuado por la FeSP-UGT con actividades empresariales o comerciales. En este supuesto se valora que los envíos efectuados se asociaban al desarrollo de actividades sindicales, según los fines que le son propios al Sindicato denunciado. Motivo por el cual la sanción a imponer debe fijarse en la cuantía de 900 a 40.000 euros, al tener la infracción cometida la calificación de grave, pero sancionarse conforme a las multas establecidas para las infracciones leves. A los efectos de la graduación de la sanción a imponer se estima que operan como atenuantes los siguientes criterios del artículo 45.4 de la LOPD:
  51. b)El volumen de los tratamientos efectuados. Los datos del denunciante fueron tratados para remitirle dos correos electrónicos, siendo el segundo la comunicación de un error en la fecha indicada en el anterior envío.
  52. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal. La entidad denunciada no tiene como principal objeto de su actividad el tratamiento de datos, siendo usados los mismos como instrumento para desarrollar su actividad sindical. Asimismo, para fijar la cuantía de la sanción agravante el siguiente criterio: se estima que opera como
  53. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. A estos efectos se considera relevante que la entidad denunciada no ha establecido los mecanismos necesarios para impedir que los datos del denunciante continúen siendo tratados, puesto que con anterioridad a los hechos analizados el denunciante ejerció su derecho de cancelación de datos ante el Sindicato denunciado y presentó ante esta Agencia reclamación de Tutela de Derechos para que el mismo fuese respetado. Pese a lo cual, dicha entidad siguió tratando la cuenta de correo electrónico profesional del denunciante para remitirle, sin su consentimiento, un correo electrónico con información sindical, lo que, una vez denunciado ante esta Agencia, motivó la instrucción del procedimiento sancionador PS/00/ S.S.S./2014 que se resolvió con fecha 18/03/2015 con la imposición de una multa de 1.500 €, tratamiento en el que la FeSP-UGT ha persistido, tal y como acredita la presentación, con fecha 28/09/2017, por el denunciante de una nueva denuncia contra dicha organización sindical tras recibir otros dos correos electrónicos con información sindical con posterioridad a haber ejercido su derecho de cancelación de datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/21 Teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 y 5 de la LOPD anteriormente citados, se considera adecuado a la gravedad de los hechos analizados proponer que se imponga una sanción de multa por importe de 4.000 euros a la FeSP-UGT al haber quedado probada su responsabilidad en la infracción al principio del consentimiento descrita. Se acompaña relación de documentos obrantes en el procedimiento. A la vista de lo expuesto se procede a emitir la siguiente PROPUESTA DE RESOLUCIÓN Que por la Directora de la Agencia Española de Protección de Datos se sancione a la FEDERACIÓN DE SERVICIOS PÚBLICOS DE LA UNIÓN GENERAL DE TRABAJADORES (FeSP-UGT), con multa de 4.000 € (Cuatro mil euros) por la infracción del artículo 6.1 en su relación con el artículo 16, ambos de la LOPD, tipificada como grave en el artículo 44.3.b de la citada Ley Orgánica. En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS hábiles pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 en relación con el art. 82.2 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. No obstante, con anterioridad a la resolución del procedimiento podrá llevar a cabo el pago voluntario de la sanción propuesta, lo que supondría una reducción de un 20% del importe de la misma, equivalente en este caso a 800 € (Ochocientos euros), quedando establecida la sanción en 3.200 euros. La efectividad de la reducción señalada estaría condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. >> TERCERO: Con fecha 16 de mayo de 2018, se registra de entrada en esta Agencia escrito de la FEDERACIÓN DE SERVICIOS PÚBLICOS DE LA UNIÓN GENERAL DE TRABAJADORES (FeSP-UGT) aportando justificante de pago de la sanción en la cuantía de 3.200 euros (Tres mil doscientos euros), haciendo uso de la reducción prevista en el artículo 85.2 de la LPACAP por pago voluntario de la sanción propuesta, lo que conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción. FUNDAMENTOS DE DERECHO I La Directora de la Agencia Española de Protección de Datos es competente para sancionar las infracciones de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), conforme a lo establecido en el artículo 37.g), en relación con el artículo 36, ambos de la citada norma; las infracciones del artículo 48 de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones (en lo sucesivo LGT), de conformidad con lo dispuesto en el artículo 84.3 de la LGT, y las infracciones tipificadas en los artículos 38.3 c),
  54. d)e
  55. i)y 38.4 d),
  56. g)y
  57. h)de la Ley 34/2002, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/21 de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en lo sucesivo LSSI), según dispone el artículo 43.1 de dicha Ley. II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente” De acuerdo con lo señalado, La Directora de la Agencia Española de Protección de Datos RESUELVE PRIMERO: DECLARAR la terminación del procedimiento PS/00616/2017, conformidad con lo establecido en los apartados 2 y 3 del artículo 85 de la LPACAP. de SEGUNDO: NOTIFICAR la presente resolución a FEDERACIÓN DE SERVICIOS PÚBLICOS DE LA UNIÓN GENERAL DE TRABAJADORES (FeSP-UGT). De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, el presente Acuerdo se hará público, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/21 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta resolución, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.