PS-00692-2022

1/19  Expediente N.º: EXP202208709 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante), en fecha 6 de mayo de 2022, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra el ORGANISMO ESTATAL INSPECCIÓN DE TRABAJO Y SEGURIDAD SOCIAL, con NIF Q2802489A, (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La reclamante manifiesta que el Consorcio Inspección de Trabajo y Seguridad Social de Cataluña ha facilitado a un antiguo trabajador de la empresa Tapioca Healthy Food, S.L., en la que la reclamante trabaja actualmente, sus datos personales junto a un Acta de Liquidación de Cuotas a la Seguridad Social, Desempleo, Fondo de Garantía Salarial y Formación Profesional, para informarle de los valores que la empresa debe abonar. La reclamante expone que nunca ha autorizado el envío de sus datos personales ni relación nominal y que, aunque sea un acta con carácter de liquidación provisional con información de todos los trabajadores, solo esta persona ha recibido la información. Considera que estas prácticas vulneran la legislación vigente en materia de protección de datos de carácter personal. Junto al escrito de reclamación aporta copia de la notificación emitida en fecha 25 de febrero de 2022, por el Organismo Estatal Inspección de Trabajo y Seguridad, dirigida al trabajador mencionado, por la que se le remite el Acta de Liquidación de Cuotas a la Seguridad Social, Desempleo, Fondo de Garantía Salarial y Formación Profesional, de acuerdo con lo que establece el artículo 40 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Publicas, y relación nominal de trabajadores en la que consta los datos de número de afiliación (NAF) y DNI, ambos parcialmente anonimizados, nombre y apellidos junto con sus datos de cotización. SEGUNDO: En fecha 16 de agosto de 2022, de conformidad con el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante, LOPDGDD), se admitió a trámite la reclamación presentada por la parte reclamante. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/19 conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: ENTIDADES INVESTIGADAS Durante las presentes actuaciones se han investigado las siguientes entidades: INSPECCIÓN PROVINCIAL DE TRABAJO Y SEGURIDAD SOCIAL DE BARCELONA con CIF Q0802279J y domicilio en TRAVESSERA E GRÀCIA 303-311 08025 BARCELONA. RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN  El Consorcio "Inspección de Trabajo y Seguridad Social en Cataluña” se constituye por Resolución de 4 de mayo de 2010, de la Secretaría General Técnica, por la que se publica el Convenio de Colaboración entre el Ministerio de Trabajo e Inmigración y el Departamento de Trabajo de la Generalitat de Cataluña.  El Artículo 40 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) en relación con la Notificación dice textualmente: “1. El órgano que dicte las resoluciones y actos administrativos los notificará a los interesados cuyos derechos e intereses sean afectados por aquéllos, en los términos previstos en los artículos siguientes…5. Las Administraciones Públicas podrán adoptar las medidas que consideren necesarias para la protección de los datos personales que consten en las resoluciones y actos administrativos, cuando éstos tengan por destinatarios a más de un interesado”. Con fecha 22 de septiembre de 2022, se ha solicitado información a la parte reclamada y de la respuesta recibida se desprende:  El art. 33.1 del Reglamento General sobre Procedimientos para la Imposición de Sanciones por Infracciones de Orden Social y para los Expedientes Liquidatorios de Cuotas de la Seguridad Social, aprobado por Real Decreto 928/1998, de 14 de mayo, impone a la Inspección la obligación de notificar el acta de liquidación a los interesados, con la precisión de que “si afectase a un colectivo de trabajadores, la notificación se efectuará a su representación unitaria o, en su defecto, al primero de los afectados por el orden alfabético de apellidos y nombre.” La parte reclamante manifiesta que el B.B.B. es el que encabeza, por orden alfabético de apellidos la lista de interesados. Se adjunta copia del contenido del citado artículo en una diligencia (D NOTIFICA).  La copia del Acta remitida a los trabajadores y aportada tanto por la parte reclamante como por la parte reclamada contiene el nombre y DNI de la reclamante, como entrevistada por la inspectora de trabajo y en otra página del Acta, el nombre, horas nocturnas trabajadas y cuantía total debida de varios trabajadores, entre ellos la reclamante. Al final del Acta se adjunta una relación nominal de trabajadores con los datos de Numero de afiliación (NAF) y DNI, ambos parcialmente anonimizados y nombre y apellidos junto con datos de cotización. A este respecto, la parte reclamada manifiesta que la anonimización se realiza de conformidad con las indicaciones sobre anonimización de datos contenidas en la nota informativa de la Subdirección General de Relaciones Institucionales y Asis- C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/19 tencia Técnica del Organismo Estatal Inspección de Trabajo y Seguridad Social, remitida a las Inspecciones Provinciales el 22/11/21 y adjunta copia de esta. En la copia aportada figura: “Respecto a las actas de liquidación, se indicaba lo siguiente: El artículo 32.1 del Reglamento general sobre procedimientos para la imposición de sanciones por infracciones de orden social y para los expedientes liquidatorios de cuotas de la Seguridad Social, prevé que “las actas de liquidación contendrán los siguientes requisitos: ….

1. b)Nombre y apellidos o razón social, domicilio, actividad, documento nacional de identidad o número de identificación fiscal, el código de cuenta de cotización en la Seguridad Social y, en su caso, número de identificación del Régimen Especial de Trabajadores Autónomos, del sujeto o sujetos responsables…. Por tanto y por razones de seguridad jurídica encaminadas a evitar la posible indefensión, si el sujeto responsable del débito es una persona física deben reflejarse tanto su NIF como su Número de Seguridad Social si el responsable es un trabajador autónomo. Esto resultará aplicable tanto al responsable principal como al posible responsable solidario. En cuanto a los trabajadores afectados, la norma reglamentaria exige incluir una relación nominal de trabajadores afectados y para obtener la adecuada identificación y evitar la indefensión, es preciso incluir el número de Seguridad Social y/o NIF-NIE. Si no se indica al menos el NAF en la relación nominal de trabajadores podrían producirse problemas de identificación en algunos supuestos. En lo que respecta al resto de personas físicas cuya actividad o testimonio quede reflejado en el acta, su correcta identificación es necesaria pero no es preciso alcanzar el nivel de detalle requerido en los supuestos en los que se trata de trabajadores directamente afectados. Teniendo en cuenta el principio de minimización de datos contenido en el artículo 5.1.
2. c)RGPD, estas personas pueden identificarse adecuadamente con su nombre apellidos y un número identificativo “anonimizado” de forma similar a la que veremos en el punto III, sustituyendo parte de los caracteres alfanuméricos del número de documento por asteriscos. Si posteriormente un órgano judicial solicita información adicional no habrá obstáculo en facilitarla (para lo cual el actuante deberá haber dejado constancia de la información completa en el informe interno) No obstante, vistas las exigencias tanto de la LOPDP para la protección de datos como los requisitos respecto al contenido de las actas de liquidación previstos por el Reglamento general sobre procedimientos para la imposición de sanciones por infracciones de orden social y para los expedientes liquidatorios de cuotas de la Seguridad Social, se estima que cabe el cumplimiento de ambas normas siempre que:
3. a)En el cuerpo de las actas de liquidación sea “anonimizada” la totalidad de los datos personales, tanto de los trabajadores afectados como de cualquier otra persona física cuyo testimonio haya sido tenido en cuenta u obre en el relato de los hechos, conforme a lo previsto por el punto III de esta nota (tarea esta que deberá ser realizada por el actuante).
4. b)Se elaboren dos modelos de relación nominal de trabajadores afectados por el acta de liquidación, uno que incluirá la totalidad de datos de los trabajadores afectados que impida que se incurra en indefensión del sujeto responsable y otro, anoC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/19 nimizado conforme al punto III de esta nota, que se remitirá al resto de sujetos distintos de la empresa previstos por el artículo 33.1. (En este caso, se anonimizarán los datos personales del NIF/NIE/Pasaporte y NAF en la forma prevista en el punto III)”. En este documento consta un ejemplo de anonimización similar al que han incluido en las Actas Asimismo, figura también “También se notificará el acta de liquidación a los trabajadores interesados; si afectase a un colectivo de trabajadores, la notificación se efectuará a su representación unitaria o, en su defecto, al primero de los afectados por el orden alfabético de apellidos y nombre”.  En lo que respecta a la documentación acreditativa de los procedimientos de seguridad en relación con la protección de la información almacenada y en tránsito en consonancia con el art. 21 del Esquema Nacional de Seguridad, la parte reclamada manifiesta que la Delegada de Protección de Datos informa que en noviembre de 2021, se han adoptado en nuestro sistema informático las medidas para anonimizar los datos personales de las actas de liquidación conforme al artículo 22 del Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad.  La Delegada de Protección de Datos no interviene en los procedimientos ni en los documentos de la Inspección de Trabajo y Seguridad Social. La parte reclamada manifiesta que, sobre esta reclamación al tratarse de documentos en soporte no electrónico y de la notificación de un acto administrativo, “la medida adoptada por el Organismo Estatal sobre anonimización de las relaciones nominales de trabajadores de las actas de liquidación que se vayan a notificar a los trabajadores o sus representantes responde a esa protección de los datos personales que consten en las resoluciones o actos administrativos, en consonancia con lo establecido en el artículo 40.5 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas.” CONCLUSIONES  El art. 33.1 del Reglamento General (aprobado por Real Decreto 928/1998, de 14 de mayo), impone a la Inspección la obligación de notificar el acta de liquidación a los interesados, con la precisión de que “si afectase a un colectivo de trabajadores, la notificación se efectuará a su representación unitaria o, en su defecto, al primero de los afectados por el orden alfabético de apellidos y nombre.” La parte reclamante manifiesta que el B.B.B. es el que encabeza, por orden alfabético de apellidos la lista de interesados.  El Acta contiene el nombre y DNI de la reclamante, como entrevistada por la inspectora de trabajo y en otra página del Acta el nombre, horas nocturnas trabajadas y cuantía total debida de varios trabajadores, entre ellos la reclamante. Al final del Acta se adjunta una relación nominal de trabajadores con los datos de Numero de afiliación (NAF) y DNI ambos parcialmente anonimizados y nombre y apellidos junto con datos de cotización. La parte reclamada manifiesta que la anonimización se realiza de conformidad con las indicaciones sobre anonimización de datos contenidas en la nota informativa de la Subdirección General de Relaciones Institucionales y Asistencia Técnica del Organismo Estatal Inspección de Trabajo y Seguridad Social. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/19  En dicha copia figura textualmente: “El artículo 32.1 del Reglamento general prevé……en cuanto a los trabajadores afectados, la norma reglamentaria exige incluir una relación nominal de trabajadores afectados y para obtener la adecuada identificación y evitar la indefensión, es preciso incluir el número de Seguridad Social y/o NIF-NIE…” “…vistas las exigencias tanto de la LOPDP para la protección de datos como los requisitos respecto al contenido de las actas de liquidación previstos por el Reglamento general …, se estima que cabe el cumplimiento de ambas normas siempre que:
5. a)En el cuerpo de las actas de liquidación sea “anonimizada” la totalidad de los datos personales, tanto de los trabajadores afectados como de cualquier otra persona física cuyo testimonio haya sido tenido en cuenta u obre en el relato de los hechos, conforme a lo previsto por el punto III de esta nota (tarea esta que deberá ser realizada por el actuante). CUARTO: Con fecha 10 de abril de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del artículo 5.1.
6. f)del RGPD y artículo 32 del RGPD, tipificadas, respectivamente en los artículos 83.5 y 83.4 del RGPD. El acuerdo de inicio fue enviado, conforme a las normas establecidas en la LPACAP, mediante notificación electrónica, siendo recibido en fecha 10 de abril de 2023, como consta en el certificado que obra en el expediente. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba que todos los trabajadores afectados por el acta de liquidación ostentan la condición de interesados en el procedimiento liquidatorio conforme a lo previsto en el artículo 4 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en la medida que estas personas trabajadoras pueden verse afectadas por la decisión que en el mismo se adopte en sus derechos, presentes y futuros, en materia de Seguridad Social. Por tanto y considerando que todas estas personas son interesadas en el procedimiento tienen derecho a la correspondiente vista y audiencia en el seno del mismo y por consiguiente, alega que podrían haber solicitado el acceso al ejemplar del acta que se notificó al sujeto responsable, documento en el que figuran los datos identificativos completos para evitar la indefensión, por lo que el documento fue transmitido siempre a personas que ostentan la condición de interesados en el procedimiento liquidatorio. En segundo lugar, expone que las medidas aludidas indicadas en la nota informativa constituyen una precaución adicional para evitar una posible difusión accidental de información y que no consta que los datos fueran transmitidos a un tercero sino a los interesados en el procedimiento, por lo que solicita que se acuerde el archivo del procedimiento sancionador en curso. SEXTO: Con fecha 29 de junio de 2023 se formuló propuesta de resolución, en la que se daba respuesta a las alegaciones planteadas y se proponía la imposición de dos sanciones de apercibimiento por el incumplimiento de lo dispuesto en los artículos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/19 5.1.
7. f)y 32 del RGPD y se otorgaba un plazo de audiencia de diez días hábiles para que formulara las alegaciones y presentara las pruebas que considerara convenientes. SÉPTIMO: La propuesta de resolución fue debidamente notificada conforme a las normas establecidas en la LPACAP mediante notificación electrónica, aceptada por la parte reclamada en fecha 3 de julio de 2023, como consta en el certificado que obra en el expediente. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Consta que en fecha 6 de mayo de 2022, la parte reclamante interpuso reclamación ante la Agencia Española de Protección de Datos, toda vez que la parte reclamada había revelado información y datos de carácter personal a terceros, al notificar un acta de liquidación que contenía datos personales sin anonimizar. SEGUNDO: Consta aportada en el expediente nota informativa de la Subdirección General de Relaciones Institucionales y Asistencia Técnica de la Dirección del Organismo Estatal Inspección de Trabajo y Seguridad Social, remitida a las Inspecciones Provinciales, e incorporada de manera automática a la aplicación informática correspondiente, en la que figura textualmente: “No obstante, vistas las exigencias tanto de la LOPDP para la protección de datos como los requisitos respecto al contenido de las actas de liquidación previstos por el Reglamento general sobre procedimientos para la imposición de sanciones por infracciones de orden social y para los expedientes liquidatorios de cuotas de la Seguridad Social, se estima que cabe el cumplimiento de ambas normas siempre que:
8. a)En el cuerpo de las actas de liquidación sea “anonimizada” la totalidad de los datos personales, tanto de los trabajadores afectados como de cualquier otra persona física cuyo testimonio haya sido tenido en cuenta u obre en el relato de los hechos, conforme a lo previsto por el punto III de esta nota (tarea esta que deberá ser realizada por el actuante). (El subrayado es de la AEPD).
9. a)Se elaboren dos modelos de relación nominal de trabajadores afectados por el acta de liquidación, uno que incluirá la totalidad de datos de los trabajadores afectados que impida que se incurra en indefensión del sujeto responsable y otro, anonimizado conforme al punto III* de esta nota, que se remitirá al resto de sujetos distintos de la empresa previstos por el artículo 33.1. (En este caso, se anonimizarán los datos personales del NIF/NIE/Pasaporte y NAF en la forma prevista en el punto III).” TERCERO: Consta acreditado que la copia del Acta de Liquidación de Cuotas a la Seguridad Social, Desempleo, Fondo de Garantía Salarial y Formación Profesional remitida a los trabajadores y aportada tanto por la parte reclamante como por la parte reclamada, contiene sin anonimizar, en la página 22: el nombre, apellidos y DNI de la reclamante, como entrevistada por la inspectora de trabajo junto con los datos de otras C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/19 cuatro personas y en la página 24: nombre y apellidos, horas nocturnas realizadas en el periodo y cuantía total debida de varios trabajadores, entre ellos la reclamante. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento, la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones Previas El Organismo Estatal Inspección de Trabajo y Seguridad Social presta una serie de servicios públicos, para los cuales trata datos de carácter personal de sus empleados y ciudadanos. Realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD: «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros. El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta una brecha de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como una brecha de confidencialidad, toda vez que la parte reclamada ha revelado información y datos de carácter personal a terceros, al notificar un acta de liquidación que contenía datos personales sin anonimizar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/19 Según el GT29 se produce una “Violación de la confidencialidad” cuando se produce una revelación no autorizada o accidental de los datos personales, o el acceso a los mismos. Dentro de los principios del tratamiento previstos en el artículo 5 del RGPD, la integridad y confidencialidad de los datos personales se garantiza en el apartado 1.
10. f)del artículo 5 del RGPD. Por su parte, la seguridad de los datos personales viene regulada en el artículo 32 del RGPD, que reglamentan la seguridad del tratamiento. III Alegaciones Aducidas al Acuerdo de Inicio En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: Alega en primer lugar la parte reclamada que todos los trabajadores afectados por el acta de liquidación ostentan la condición de interesados en el procedimiento liquidatorio, conforme a lo previsto en el artículo 4 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en la medida que estas personas trabajadoras pueden verse afectadas por la decisión que en el mismo se adopte en sus derechos, presentes y futuros, en materia de Seguridad Social. Por tanto y considerando que todas estas personas son interesadas en el procedimiento tienen derecho a la correspondiente vista y audiencia en el seno del mismo y por consiguiente, alega que podrían haber solicitado el acceso al ejemplar del acta que se notificó al sujeto responsable, documento en el que figuran los datos identificativos completos para evitar la indefensión, por lo que el documento fue transmitido siempre a personas que ostentan la condición de interesados en el procedimiento liquidatorio. En relación con estos argumentos se ha de señalar, en primer término, que de conformidad con las indicaciones sobre anonimización de datos contenidas en la nota informativa de la Subdirección General de Relaciones Institucionales y Asistencia Técnica de la Dirección del Organismo Estatal Inspección de Trabajo y Seguridad Social, remitida a las Inspecciones Provinciales, figura textualmente: “No obstante, vistas las exigencias tanto de la LOPDP para la protección de datos como los requisitos respecto al contenido de las actas de liquidación previstos por el Reglamento general sobre procedimientos para la imposición de sanciones por infracciones de orden social y para los expedientes liquidatorios de cuotas de la Seguridad Social, se estima que cabe el cumplimiento de ambas normas siempre que:
11. b)En el cuerpo de las actas de liquidación sea “anonimizada” la totalidad de los datos personales, tanto de los trabajadores afectados como de cualquier otra persona física cuyo testimonio haya sido tenido en cuenta u obre en el relato de los hechos, conforme a lo previsto por el punto III de esta nota (tarea esta que deberá ser realizada por el actuante). (El subrayado es de la AEPD).
12. c)Se elaboren dos modelos de relación nominal de trabajadores afectados por el acta de liquidación, uno que incluirá la totalidad de datos de los trabajadores C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/19 afectados que impida que se incurra en indefensión del sujeto responsable y otro, anonimizado conforme al punto III* de esta nota, que se remitirá al resto de sujetos distintos de la empresa previstos por el artículo 33.1. (En este caso, se anonimizarán los datos personales del NIF/NIE/Pasaporte y NAF en la forma prevista en el punto III).” Pues bien, consta acreditado que la copia del Acta remitida a los trabajadores y aportada tanto por la parte reclamante como por la parte reclamada, contiene sin anonimizar, en la página 22: el nombre, apellidos y DNI de la reclamante, como entrevistada por la inspectora de trabajo junto con los datos de otras cuatro personas y en la página 24: nombre y apellidos, horas nocturnas realizadas en el periodo y cuantía total debida de varios trabajadores, entre ellos la reclamante. Es decir que, dicho documento no se encuentra anonimizado, conteniendo referencias que permiten la identificación de la parte reclamante y del resto de trabajadores que constan en el mismo. En el presente caso, los datos personales de la parte reclamante que figuran en el Acta de Liquidación de Cuotas a la Seguridad Social, Desempleo, Fondo de Garantía Salarial y Formación Profesional, no se encuentran anonimizados permitiendo que la parte reclamante puede ser identificable para personas que conozcan las circunstancias no anonimizadas. A mayor abundamiento, hay que tener en cuenta que esas personas entrevistadas son los mismos trabajadores que también figuran en la relación nominal, por lo que sería contradictorio anonimizar los datos que figuran en la relación nominal, como así consta, pero no a lo largo del Acta de liquidación. Por tanto, debe señalarse que el artículo 32 del RGPD se infringe tanto si no se adoptan por el responsable las medidas de índole técnica y organizativas apropiadas que garanticen la seguridad de los datos personales, como si, establecidas éstas, las mismas no se observan. En este sentido es importante resaltar que los datos se considerarán anonimizados en la medida que no exista una probabilidad razonable de que cualquier persona pueda identificar a la persona física en el conjunto de datos. Con el proceso de anonimización se pretenden eliminar o reducir al mínimo los riesgos de reidentificación de los titulares de los datos, pero sin distorsionar el tratamiento de datos. La finalidad es ofrecer mayores garantías de privacidad a las personas, impidiendo la vulneración de la confidencialidad, integridad y disponibilidad de los sistemas y servicios de tratamiento. En segundo lugar, expone que las medidas aludidas indicadas en la nota informativa constituyen una precaución adicional para evitar una posible difusión accidental de información y que no consta que los datos fueran transmitidos a un tercero sino a los interesados en el procedimiento, por lo que solicita que se acuerde el archivo del procedimiento sancionador en curso. En este sentido procede indicar que la entidad reclamada en su calidad de organismo público, responsable del tratamiento de datos de carácter personal, debió adoptar las medidas necesarias para impedir cualquier acceso a la información de carácter personal que contenía dicha documentación. Tales medidas no fueron adoptadas totalmente en el presente caso, como lo acredita el hecho de que en el Acta figuraran C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/19 los datos identificativos de la reclamante de este procedimiento, junto con los de otros trabajadores. De todo ello se deduce una falta de la debida diligencia tanto en el cumplimiento de las medidas de seguridad establecidas, así como en la supervisión o comprobación de su observancia y/o de la idoneidad de estas. En consecuencia, las alegaciones deben ser desestimadas, significándose que las argumentaciones presentadas no desvirtúan el contenido esencial de la infracción que se declara cometida ni suponen causa de justificación o exculpación suficiente. IV Obligación incumplida Los hechos reclamados se materializan en la notificación remitida, en fecha 25 de febrero de 2022, por la parte reclamada a B.B.B., antiguo empleado de la empresa Tapioca Healthy Food, S.L., en la que se adjuntaba un acta de liquidación de cuotas (número de acta 82022008026752 TR) donde constan datos personales de diversas personas, entre ellas, datos de la reclamante, lo que supone una vulneración de la normativa en materia de protección de datos. Es, por tanto, pertinente analizar si el tratamiento de datos personales llevado a cabo a través de dicha notificación es acorde con lo establecido en el RGPD. El artículo 33 del Real Decreto 928/1998, de 14 de mayo, por el que se aprueba el Reglamento general sobre procedimientos para la imposición de sanciones por infracciones de orden social y para los expedientes liquidatorios de cuotas de la Seguridad Social establece, en relación con la notificación y resolución de las actas de liquidación, lo siguiente: “1. Las actas de liquidación de cuotas serán notificadas por la Inspección de Trabajo y Seguridad Social al sujeto responsable, así como, en su caso, a los responsables subsidiarios o solidarios, haciéndoles constar que podrán formular alegaciones en la forma establecida en el artículo anterior en el término de quince días a contar desde la fecha de la notificación. En el supuesto de responsabilidad solidaria las actas se tramitarán en el mismo expediente administrativo liquidatorio. También se notificará el acta de liquidación a los trabajadores interesados; si afectase a un colectivo de trabajadores, la notificación se efectuará a su representación unitaria o, en su defecto, al primero de los afectados por el orden alfabético de apellidos y nombre. Los trabajadores no conformes con los períodos y bases de cotización recogidas en el acta o con la procedencia de la liquidación, podrán formular alegaciones en las mismas condiciones que el presunto responsable. Asimismo, el acta se comunicará de inmediato a la Tesorería General de la Seguridad Social. Antes del vencimiento del plazo señalado para formular alegaciones, los interesados podrán ingresar el importe de la deuda señalada en el acta de liquidación, justificando el pago ante la Inspección de Trabajo y Seguridad Social en idéntico plazo. La C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/19 liquidación provisional cuyo importe se haya hecho efectivo por el sujeto responsable, adquirirá el carácter de liquidación definitiva.” Respecto a las actas de liquidación, el artículo 32.1 del Reglamento general sobre procedimientos para la imposición de sanciones por infracciones de orden social y para los expedientes liquidatorios de cuotas de la Seguridad Social, prevé que “las actas de liquidación” contendrán los siguientes requisitos: (…)
13. b)Nombre y apellidos o razón social, domicilio, actividad, documento nacional de identidad o número de identificación fiscal, el código de cuenta de cotización en la Seguridad Social y, en su caso, número de identificación del Régimen Especial de Trabajadores Autónomos, del sujeto o sujetos responsables. (…)
14. d)Los datos que hayan servido de base para calcular el débito: período de descubierto, relación nominal y grupo de cotización de los trabajadores afectados o, en su caso, relaciones contenidas en las declaraciones oficiales formuladas por el presunto responsable, referencia suficientemente identificadora del contenido de tales declaraciones, o relaciones nominales y de datos facilitadas y suscritas por el sujeto responsable; bases y tipos de cotización aplicados; y cuantos otros datos pueda el funcionario actuante obtener o deducir a los fines indicados.” De la documentación obrante en el expediente, consta que, de todos los afectados, B.B.B. es el que encabeza, por orden alfabético de apellidos, la lista de interesados. En lo que respecta al tratamiento de los datos asociados al Acta, la parte reclamada expone, en contestación al requerimiento efectuado en el marco de las actuaciones previas, que la anonimización se realiza de conformidad con las indicaciones sobre anonimización de datos contenidas en la nota informativa de la Subdirección General de Relaciones Institucionales y Asistencia Técnica del Organismo Estatal Inspección de Trabajo y Seguridad Social, remitida a las Inspecciones Provinciales el 22/11/21, e incorporada de manera automática a la aplicación informática correspondiente. En dicha nota figura textualmente: “No obstante, vistas las exigencias tanto de la LOPDP para la protección de datos como los requisitos respecto al contenido de las actas de liquidación previstos por el Reglamento general sobre procedimientos para la imposición de sanciones por infracciones de orden social y para los expedientes liquidatorios de cuotas de la Seguridad Social, se estima que cabe el cumplimiento de ambas normas siempre que:
15. a)En el cuerpo de las actas de liquidación sea “anonimizada” la totalidad de los datos personales, tanto de los trabajadores afectados como de cualquier otra persona física cuyo testimonio haya sido tenido en cuenta u obre en el relato de los hechos, conforme a lo previsto por el punto III de esta nota (tarea esta que deberá ser realizada por el actuante) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/19
16. a)Se elaboren dos modelos de relación nominal de trabajadores afectados por el acta de liquidación, uno que incluirá la totalidad de datos de los trabajadores afectados que impida que se incurra en indefensión del sujeto responsable y otro, anonimizado conforme al punto III* de esta nota, que se remitirá al resto de sujetos distintos de la empresa previstos por el artículo 33.1. (En este caso, se anonimizarán los datos personales del NIF/NIE/Pasaporte y NAF en la forma prevista en el punto III).” Pues bien, trasladando estas consideraciones al caso concreto que se examina, consta copia del Acta remitida a los trabajadores y aportada tanto por la parte reclamante como por la parte reclamada, que contiene sin anonimizar, en la página 22: el nombre, apellidos y DNI de la reclamante, como entrevistada por la inspectora de trabajo junto con los datos de otras cuatro personas y en la página 24: nombre y apellidos, horas nocturnas realizadas en el periodo y cuantía total debida de varios trabajadores, entre ellos la reclamante. Es decir que, dicho documento no se encuentra anonimizado, conteniendo referencias que permiten la identificación de la parte reclamante. Al final del Acta se adjunta una relación nominal de trabajadores con los datos de Numero de afiliación (NAF) y DNI ambos parcialmente anonimizados, nombre y apellidos junto con datos de cotización. En este sentido, debemos recordar la definición de dato personal contenido en la artículo 4 del RGPD: “… «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona…”. Se considera persona física identificable aquella cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona. Asimismo, debe entenderse por tratamiento “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. V Deber de confidencialidad. Establece el artículo 5.1.
17. f)del RGPD lo siguiente: “Artículo 5 Principios relativos al tratamiento: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/19 1. Los datos personales serán: (…)
18. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En relación con este principio, el Considerando 39 del referido RGPD señala que: “[…]Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento”. La documentación obrante en el expediente ofrece indicios evidentes de que el reclamado vulneró el artículo 5.1
19. f)del RGPD, principios relativos al tratamiento. En el presente caso, consta que los datos personales de la parte reclamante, obrantes en el acta, fueron indebidamente difundidos al resto de trabajadores que prestan servicios en la empresa, vulnerándose el principio de confidencialidad. En la copia del Acta remitida a los trabajadores y aportada tanto por la parte reclamante como por la parte reclamada, contiene sin anonimizar, en la página 22: el nombre, apellidos y DNI de la reclamante, como entrevistada por la inspectora de trabajo junto con los datos de otras cuatro personas y en la página 24: nombre y apellidos, horas nocturnas trabajadas en el periodo y cuantía total debida de varios trabajadores, entre ellos la reclamante. Dicho documento no se encuentra anonimizado totalmente, conteniendo referencias que permiten la identificación de la parte reclamante. Al final del Acta se adjunta una relación nominal de trabajadores con los datos de Numero de afiliación (NAF) y DNI ambos parcialmente anonimizados, nombre y apellidos junto con datos de cotización. En consecuencia, se considera que los hechos acreditados son constitutivos de infracción, imputable a la parte reclamada, por vulneración del artículo 5.1.
20. f)del RGPD. VI Tipificación de la infracción del artículo 5.1.
21. f)del RGPD La citada infracción del artículo 5.1.
22. f)del RGPD, supone la comisión de una de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/19
23. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
24. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” VII Seguridad de los datos. Establece el artículo 32 del RGPD, seguridad del tratamiento, lo siguiente: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
25. a)la seudonimización y el cifrado de datos personales;
26. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
27. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
28. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/19 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. De la documentación obrante en el expediente se ofrecen indicios evidentes de que el reclamado ha vulnerado el artículo 32 del RGPD, al producirse un incidente de seguridad al revelar información y datos de carácter personal a terceros, al notificar un acta de liquidación que contenía datos personales sin anonimizar. En este sentido, del contenido de la documentación remitida por la parte reclamada se desprende la obligación de anonimizar en el cuerpo de las actas de liquidación la totalidad de los datos personales, tanto de los trabajadores afectados como de cualquier otra persona física cuyo testimonio haya sido tenido en cuenta u obre en el relato de los hechos y la elaboración de dos modelos de relación nominal de trabajadores afectados por el acta de liquidación, uno que incluirá la totalidad de datos de los trabajadores afectados que impida que se incurra en indefensión del sujeto responsable y otro, anonimizado que se remitirá al resto de sujetos distintos de la empresa previstos por el artículo 33.1. No obstante, dicho documento no se encuentra anonimizado totalmente, conteniendo referencias que permiten la identificación de la parte reclamante. Dicha manifestación deja en evidencia el desconocimiento del personal que ha intervenido en el proceso en relación con la anonimización de los datos. En este sentido es importante resaltar que los datos se considerarán anonimizados en la medida que no exista una probabilidad razonable de que cualquier persona pueda identificar a la persona física en el conjunto de datos. Con el proceso de anonimización se pretenden eliminar o reducir al mínimo los riesgos de reidentificación de los titulares de los datos, pero sin distorsionar el tratamiento de datos. La finalidad es ofrecer mayores garantías de privacidad a las personas, impidiendo la vulneración de la confidencialidad, integridad y disponibilidad de los sistemas y servicios de tratamiento. En el presente caso, los datos personales de la parte reclamante no se encuentran correctamente anonimizados permitiendo que pueda ser identificable para personas que conozcan las circunstancias no anonimizadas. Hay que señalar que el RGPD en el citado precepto no establece un listado de las medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto de tratamiento, sino que establece que el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, señalando que la determinación de las medidas técnicas y organizativas deberá realizarse teniendo en cuenta: la seudonimización y el cifrado, la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/19 capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. En este mismo sentido el considerando 83 del RGPD señala que: “