1/4 Procedimiento nº.: PS/00305/2019 Recurso de reposición Nº RR/00835/2019 Examinado el recurso de reposición interpuesto por CORPORACION DE RADIO Y TELEVISION ESPAÑOLA SA contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00305/2019, y en base a los siguientes HECHOS PRIMERO: Con fecha 19 de noviembre de 2019, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00305/2019, en virtud de la cual se imponía a una sanción de 60.000 ( SESENTA MIL euros), por la vulneración de lo dispuesto en el artículo 32 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en lo sucesivo RGPD), infracción tipificada en el artículo 83.4
- a)del RGPD y calificada de GRAVE en el artículo 73
- f)de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDPGDD). Dicha resolución, que fue notificada al recurrente en fecha 20 de noviembre de 2019, fue dictada previa tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la LOPDPGDD, y supletoriamente en la LPACAP, en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00305/2019, quedó constancia de los siguientes: procedimiento sancionador, HECHOS PROBADOS PRIMERO: Con fecha 22 de noviembre de 2018, la reclamada comunica a la Dirección de Seguridad mediante formulario de denuncia, la desaparición de seis pendrives que se encontraban en una bolsita monedero en la Oficina de atención al Participe del Plan de Pensiones. Dichos dispositivos fueron vistos por última vez el 12 de noviembre de 2018. La Dirección de Seguridad en el trámite de investigación de dicha desaparición tiene conocimiento que se trata de seis dispositivos y obtiene una relación del contenido de estos. La Dirección de Seguridad presenta denuncia en la Dirección General de Policía el día 11 de diciembre y en cumplimiento de la Norma interna 3/2014 Reguladora de las actuaciones a seguir en el caso de desaparición de material perteneciente a RTVE, a sus empleados o a sus colaboradores, lo notifica el 12 de diciembre a la Dirección de Recursos Humanos (en adelante DRRHH), Dirección de Asesora Jurídica (DAJ) y Dirección Área Litigación y Laboral (DLL) junto con escrito resumen de los hechos y el contenido de los dispositivos se deduce que el número de afectados es aproximadamente once mil personas y los datos afectados son del siguiente tipo: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 1. Datos identificativos: nombre y apellidos, DNI, matrícula de RTVE, teléfono, dirección (postal y electrónica) 2. Circunstancias personales: fecha de nacimiento, sexo, estado civil 3. Detalles del empleo: puesto de trabajo, categoría, nivel salarial, localidad de trabajo, fechas de jubilación 4. Categorías especiales de datos: Afiliación a CCOO, salud (resoluciones médicas, resoluciones de la Seguridad Social sobre incapacidades), Infracciones penales o condenas (sentencias completas con datos personales y posiblemente alguna notificación de embargo) En cuanto al número de afectados es muy elevado ya que los datos de partícipes del plan de pensiones se remontan a la fecha de inicio de este en 1995, y los datos del Censo de RTVE son de todos los empleados de esta, siendo muchos de ellos también participes del Plan de Pensiones. SEGUNDO: CORPORACION DE RADIO Y TELEVISION ESPAÑOLA SA (en lo sucesivo el recurrente) ha presentado en fecha 20 de diciembre de 2019, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándose en que en todo momento ha actuado diligentemente y adoptando las adecuadas medidas de seguridad ya que: La entrega de la información y de los datos personales remitidos a la sección sindical de CCOO, no fue por propia voluntad, sino por una obligación legal y convencional. La recogida de datos se debe a la relación contractual de RTVE y sus trabajadores. La información remitida a la Comisión de Control del Plan de Pensiones fue reali zada por correo electrónico utilizando un fichero Excel codificado. El responsable del tratamiento de los datos personales es la Comisión de Control del Plan de Pensiones. Los pendrives objeto del presente caso han sido recuperados y además, mediante certificado emitido por ONDATA INTERNACIONAL S.L. se acredita que estos no han sido utilizados. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 48.1 de la LOPDPGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 II En el presente recurso de reposición se ha constatado que la entrega de la información y de los datos personales a la sección sindical de CCOO, no fue por propia voluntad de recurrente, sino por una obligación (legal y convencional), de conformidad con el derecho de información de los representantes de los trabajadores (Comité Intercentros, Comité de Empresa y las distintas comisiones que en RTVE conforman los representantes de los trabajadores, incluida la Comisión de Control del Plan de Pensiones..) que viene establecido en el artículo 64 del Estatuto de los Trabajadores, y en diversos artículos del II Convenio Colectivo vigente para RTVE. La base que legitima la recogida de datos por el recurrente de los contenidos en los pendrives es la ejecución del contrato de trabajo entre RTVE y sus trabajadores (art. 6.1.
- b)del RGPD) y la legitimación de la recogida de datos en relación con el tratamiento de datos por parte de la Comisión del Plan de Pensiones, es el consentimiento del trabajador que voluntariamente se hace partícipe del Plan de Empleo, siendo RTVE el Promotor. Por ello, puede desprenderse, que sería la Comisión de Control del Plan de Pensiones, el responsable de los datos personales que trata para la realización de sus fines, quien debería guardar todas las medidas de seguridad de que dispone para proteger los datos que trata. Este Organismo entiende que el recurrente actuó diligentemente ya que la información remitida a la Comisión de Control del Plan de Pensiones fue por correo electrónico utilizando un fichero Excel codificado con contraseña a la citada Comisión de modo que sólo conocían la clave el presidente y el secretario de la misma tal y como queda acreditado mediante certificado del Director del Área de Gestión de Personal de RTVE. Por lo tanto, entiende que son los receptores de la información, quienes deben guardar el debido sigilo profesional y las medidas de seguridad adecuadas para garantizar la protección de esos datos que el recurrente les cede para el exclusivo ejercicio de sus fines sindicales. Además, el recurrente ha comunicado recientemente a esta Agencia que la Comisión de Control del Plan de Pensiones ha recuperado los pendrives objeto del presente caso y mediante certificado emitido por ONDATA INTERNACIONAL S.L. se acredita que estos no han sido utilizados. Concluir por tanto señalando que se ha constatado la falta de indicios racionales de la existencia de una infracción en el ámbito competencial de la Agencia Española de Protección de Datos, considerándose por tanto que el recurrente en todo momento ha actuado diligentemente y adoptando las adecuadas medidas de seguridad en el tratamiento de datos personales, por lo que procede la estimación del recurso de reposición interpuesto por el recurrente. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR el recurso de reposición interpuesto por CORPORACION DE RADIO Y TELEVISION ESPAÑOLA SA contra la resolución de esta Agencia Española de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 Protección de Datos dictada con fecha 19 de noviembre de 2019, en el procedimiento sancionador PS/00305/2019, indicando al sancionado que queda sin efecto la obligación de abonar la multa impuesta en la resolución recurrida. SEGUNDO: NOTIFICAR la presente resolución a la entidad CORPORACION DE RADIO Y TELEVISION ESPAÑOLA SA. y, conforme al art. 77.2 del RGPD, INFORMAR al reclamante sobre el resultado de la reclamación. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es