← España

PS-00626-2021

1/9  Expediente N.º: EXP202102453 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: D. A.A.A., en nombre de Dña. B.B.B., Dña. C.C.C., Dña. D.D.D., D. E.E.E., Dña. F.F.F. y Dña. G.G.G. (en adelante, la parte reclamante), a efectos de notificaciones, con fecha 21 de julio de 2021 interpusieron reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra el Sindicato Intersectorial Trabajadores/as Provincia de Alicante con NIF G42694943 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que el presidente del comité de empresa vulnera la normativa de protección de datos al publicar las actas del comité de empresa en el tablón de anuncios sindical y en un grupo de WhatsApp. En los citados documentos se encuentra la firma de todos los representantes sindicales que intervienen en el comité. Y, aportan la siguiente documentación: Fotografías y pantallazos de WhatsApp en los que se visualizan las firmas de los miembros del comité de empresa. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue entregado el 25 de octubre de 2021 como consta en el acuse de recibo que obra en el expediente. Con fecha 12 de noviembre de 2021 se recibe en esta Agencia escrito de respuesta alegando: “que el único dato posible de las actas sería el propio nombre de los miembros del comité y su firma, en la medida en que se asocia a un determinado sindicato, pero esa asociación no tiene ninguna relevancia en este entorno, puesto que es sobradamente conocido para todo el personal de la empresa y ese conocimiento viene implícito en la elección y aceptación el cargo. No figura en las actas ni el DNI, ni el sexo, ni el domicilio, ni ningún otro dato personal. Por ello, ningún integrante del comité puede sentir vulnerado su derecho. Las fotografías aportadas de las actas lo son a mala fe, pues son poco legibles, con la clara finalidad de sembrar la duda sobre si pudiera existir algún dato personal, que no existe. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 Además, adviértase que el reclamante funda su denuncia, única y exclusivamente, en la exposición pública de las firmas. Es decir, que para él las actas en sí mismas, si se expusieran sin firmas, no representarían ningún problema. Como no puede ser de otra forma, ya que su exposición es lícita y su contenido no contiene ningún dato personal. Por lo tanto, todo reside en la exposición de las firmas. Sin embargo, entendemos que la firma en sí misma, a estos efectos, no es un dato personal merecedora de protección. Ciertamente la grafía puede constituir un dato personal, pero no en este entorno, ya que la firma está estampada en el ejercicio de las funciones propias del comité de empresa, y por ello esa firma validante es necesariamente pública. El tablón sindical está en un lugar concreto y apartado, protegido de cualquier visita. Adjuntamos certificado de la empresa que no deja lugar a la duda. Y respecto al grupo de WhatsApp no se trata de un grupo abierto, accesible a cualquiera, y en el mismo tampoco se cuelgan datos personales”. TERCERO: Con fecha 16 de diciembre de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 24 de enero de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 5.1.

  1. c)del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: Notificado el citado acuerdo de inicio, la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifiesta: “que dan por reproducida nuestra respuesta previa y que, a pesar de nuestra clara respuesta, se acuerda iniciar procedimiento sancionador, estimando la vulneración como grave. Dicho acuerdo se adopta teniendo como sustento jurídico la referencia al informe del Gabinete Jurídico de la AEPD número 048939/2016. Desconocemos el informe concreto referenciado que fundamenta el inicio del presente procedimiento sancionador. Con respecto a la identificación por la firma. Las actas solo contienen el nombre y la firma de los representantes, que es el mínimo que pueden contener, pues un acta sin firmar es un documento sin valor. Con respecto a que la firma no añade una mayor información. Es precisamente todo lo contrario. La firma es un elemento clave de autenticidad que hace ver a los electores ser cierto lo que contiene el acta. Con respecto a que se crea una situación de riesgo. Los representantes sindicales son personas que voluntariamente se han presentado a un proceso electoral, y que son conocidos por todos, empresa y plantilla, añadiendo además que deben ser C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 conocidos, no pueden ser personas anónimas o que deban ocultar algún dato. No puede entenderse que situación de riesgo se genera. Con respecto a la proporcionalidad de la publicación. Las actas han estado expuestas en el tablón de anuncios interno de la empresa, donde solo tienen acceso los trabajadores de está y nadie más. Las actas solo han podido ser vistas por las personas integrantes de la plantilla de la empresa, que son los electores de los representantes sindicales, y los directamente interesados en el contenido de las mismas. En la empresa existe un doble control de acceso (cuya prueba ya se aportó), y no es posible que el tablón sindical sea visto por personas distintas a ellas. Tampoco el grupo de wasap que es cerrado y precisa de una acción filtrada para ser miembro. En conclusión, tras las anteriores alegaciones, entendemos que solo procede el archivo del expediente, sin imposición de sanción alguna”. SEXTO: Con fecha 22 de febrero de 2022, se remite tanto por correo postal como por vía electrónica el informe del Gabinete Jurídico de la AEPD número 048939/2016, al que hace referencia en sus alegaciones al Acuerdo de Inicio la parte reclamada, constando como confirmación de la recepción de la notificación por vía postal el 31 de marzo de 2022, y como rechazo automático por vía electrónica el 5 de marzo de 2022. SÉPTIMO: Con fecha 18 de marzo de 2021, el instructor del procedimiento acordó dar por reproducidos a efectos probatorios la reclamación interpuesta por la parte reclamante y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación. Asimismo, se dan por reproducidos a efectos probatorios las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por la parte reclamada. OCTAVO: Con fecha 4 de mayo de 2022 se formuló propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se sancione a Sindicato Intersectorial Trabajadores/as Provincia de Alicante, con NIF G42694943, por una infracción del Artículo 5.1.
  2. c)del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 2.000 euros (dos mil euros). NOVENO: Notificada la propuesta de resolución, la parte reclamada no presentó escrito de alegaciones. HECHOS PROBADOS PRIMERO: La parte reclamada ha expuesto las actas del Comité de Empresa, en el tablón de anuncios sindical y en un grupo de WhatsApp, figurando en dichas actas las firmas manuscritas de todos los representantes sindicales que intervienen en el Comité de Empresa. SEGUNDO: Fotografías y pantallazos de WhatsApp en los que se visualizan las firmas de los miembros del comité de empresa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II En respuesta a las alegaciones presentadas por la entidad reclamada, se considera probado que la parte reclamada ha expuesto las actas del Comité de Empresa, en el tablón de anuncios sindical y en un grupo de WhatsApp, figurando en dichas actas las firmas manuscritas de todos los representantes sindicales que intervienen en el Comité de Empresa. En este sentido el informe del Gabinete Jurídico de la AEPD número 048939/2016, que sus conclusiones son trasladables al presente supuesto, ya que el acta contiene la identificación de los firmantes con su nombre, apellidos y cargo sin que la firma manuscrita aporte con carácter general una mayor información sobre lo debatido en el pleno, mientras que da lugar a un situación de riesgo para los firmante por lo que, en principio, debe considerarse que su publicación con carácter general no resulta conforme al principio de proporcionalidad, y por ello se entiende que la entidad reclamada ha vulnerado el artículo 5.1
  3. c)del RGPD, que rige los principios minimización de los datos personales, así como la responsabilidad proactiva del responsable del tratamiento de demostrar su cumplimiento. En este mismo sentido se había pronunciado el criterio interpretativo número CI/004/2015, de 23 de julio de 2015, emitido conjuntamente por el Consejo de Transparencia y Buen Gobierno (CTBG) y la AEPD, relativo a la publicidad activa de la firma manuscrita y también de los datos del DNI. En dicho criterio se concluye, respecto a la firma manuscrita, que no puede ignorarse que la publicación de la firma manuscrita puede generar una situación de riesgo debido a la posibilidad de reproducción por parte de cualquier persona que acceda al documento, por lo que se recomienda la supresión de todas las firmas manuscritas de los documentos, «siempre que la ausencia de las firmas sea suplida con algún tipo de mención que ponga de manifiesto que el original del mismo ha sido efectivamente firmado». C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 III El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales. Por su parte, el artículo 5 del RGPD establece que los datos personales serán: “
  4. a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);
  5. b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);
  6. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);
  7. d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);
  8. e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);
  9. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).” IV El artículo 72.1.
  10. a)de la LOPDGDD señala que “en función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  11. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 V El artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
  12. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;
  13. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular” VI La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. A fin de determinar la multa administrativa a imponer se han de observar las previsiones del artículo 83, apartado 2 del RGPD, que señala: “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  14. a)a
  15. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  16. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  17. b)la intencionalidad o negligencia en la infracción;
  18. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  19. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  20. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  21. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  22. g)las categorías de los datos de carácter personal afectados por la infracción;
  23. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9
  24. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  25. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  26. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, en relación con la letra
  27. k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, establece: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  28. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  29. a)El carácter continuado de la infracción.
  30. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  31. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  32. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  33. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  34. f)La afectación a los derechos de los menores.
  35. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  36. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción de multa a imponer en el presente caso a la entidad reclamada por la infracción tipificada en el artículo 83.5.
  37. a)del RGPD de la que se responsabiliza a la parte reclamada se estiman concurrentes los siguientes factores: -Artículo 83.2.
  38. b)RGPD. “Intencionalidad o negligencia en la infracción”: En este caso concreto, se produce una acción negligente grave al publicar en el tablón de anuncios sindical y en un grupo de WhatsApp dichas actas con las firmas manuscritas de todos los representantes sindicales que intervienen en el Comité de Empresa. Considerando los factores expuestos, la valoración que alcanza la multa por la infracción imputada es de 2.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 VII Entre los poderes correctivos que contempla el artículo 58 del RGPD, en su apartado 2
  39. d)se establece que cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. En tal caso, esta Agencia podrá requerir al responsable para que adecúe los tratamientos de datos personales que realiza a la normativa de protección de datos conforme a lo indicado en los Fundamentos de Derecho precedentes. Se advierte que no atender a los requerimientos de este organismo puede ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. En el texto de la resolución se establecen cuáles han sido las infracciones cometidas y los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a SINDICATO INTERSECTORIAL TRABAJADORES/AS PROVINCIA DE ALICANTE, con NIF G42694943, por una infracción del Artículo 5.1.
  40. c)del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 2.000 euros (dos mil euros). SEGUNDO: NOTIFICAR la presente resolución a SINDICATO INTERSECTORIAL TRABAJADORES/AS PROVINCIA DE ALICANTE. TERCERO: REQUERIR a SINDICATO INTERSECTORIAL TRABAJADORES/AS PROVINCIA DE ALICANTE para que, en el plazo de un mes de acuerdo con lo establecido en el artículo 58.2.
  41. d)del RGPD, adopte de las medidas necesarias para que no figuren en la publicación de las actas las firmas manuscritas, de conformidad con lo establecido en el artículo 5.1 f), así como la aportación de medios de prueba acreditativos del cumplimiento de lo requerido. CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  42. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  43. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.