REPOSICION-PS-00360-2020

1/14  Procedimiento nº.: PS/00360/2020 Recurso de reposición Nº RR/00549/2021 Examinado el recurso de reposición interpuesto por UST GLOBAL ESPAÑA, S.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00360/2020, y en base a los siguientes HECHOS PRIMERO: Con fecha 14/07/2021, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00360/2020, en virtud de la cual se imponía a la entidad UST GLOBAL ESPAÑA, S.A. una sanción de 3.000 euros (tres mil euros), por la vulneración de lo dispuesto en el artículo 5.1.

1. f)del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en lo sucesivo RGPD), en relación con el artículo 5 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDPGDD); infracción tipificada en el artículo 83.5
2. a)del RGPD y calificada como muy grave a efectos de prescripción en el artículo 72 de la LOPDPGDD. Dicha resolución, que fue notificada a la recurrente en fecha 15/07/2021, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la LOPDPGDD, y supletoriamente en la LPACAP, en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00360/2020, quedó constancia de los siguientes: procedimiento sancionador, “PRIMERO: El reclamante prestó servicios como empleado en la entidad UST GLOBAL. Esta entidad ha manifestado que el reclamante estuvo empleado en la misma desde el 25/02/2019 hasta el día 03/04/2020 SEGUNDO: UST GLOBAL, en el marco de la actividad económica que desarrolla, fue contratada para la prestación de servicios por la entidad OpenBank. TERCERO: UST GLOBAL resolvió incorporar al reclamante, junto con otro empleado de esa entidad, a la gestión del proyecto que desarrollaba como prestador de servicios de OpenBank. CUARTO: Con fecha 08/01/2020, desde el dominio “@ust-global.com”, se remitió un correo electrónico dirigido a dos usuarios con dominio “@gruposantander.com”, con copia a tres usuarios más del dominio “@ust-global.com”, entre ellos el reclamante y el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 otro el empleado de la reclamada al que se refiere el contenido del correo. Esta comunicación tiene como asunto “Accesos para nuevas incorporaciones” y el siguiente texto: “Buenos días… (nombres de los destinatarios del Grupo Santander) Hemos incorporado hoy dos personas al equipo OpenBank, por lo que necesitaríamos que les solicitarais los accesos a la VPN, Jira, etc. Los datos son: (…) (nombre y apellidos del reclamante, dirección de correo electrónico profesional y DNI) (…) (nombre y apellidos de otro empleado de la reclamada, dirección de correo electrónico profesional y DNI)”. Según ha manifestado UST GLOBAL, este correo fue remitido por la supervisora del reclamante”. TERCERO: Con fecha 13/08/2021, dentro del plazo establecido, se ha interpuesto recurso de reposición por la entidad UST GLOBAL ESPAÑA, S.A. (en lo sucesivo UST GLOBAL, la reclamada o la recurrente) contra la resolución reseñada en el Antecedente Primero, de fecha 14/07/2021, en el que reproduce, básicamente, sus alegaciones anteriores y solicita que se declare la nulidad de aquella resolución conforme a las consideraciones siguientes:
3. a)La reclamación que da lugar al procedimiento se formula dos meses después de que el reclamante fuese despedido disciplinariamente. Hasta ese momento no había planteado ninguna cuestión relativa al tratamiento de sus datos personales o su privacidad.
4. b)Tanto el reclamante como el tercero cuyos datos también figuraban en el correo electrónico que motivó la reclamación mantenían en sus contratos de trabajo cláusulas de confidencialidad y secreto, que conllevan el uso de la información exclusivamente para cumplir las funciones del puesto y no revelarla sin consentimiento expreso de la empresa. La cláusula incluye, asimismo, el compromiso de cumplir la legislación en el ámbito de la protección de datos personales.
5. c)Reitera que la inclusión del número de DNI de los dos empleados en un correo electrónico corporativo no supone una revelación de datos confidenciales constitutiva de infracción del artículo 5.1
6. f)del RGPD, como señala la AEPD, que con esta conclusión vulnera el principio de tipicidad. A este respecto, admite lo señalado en la resolución impugnada cuando indica que una organización no puede poner en conocimiento de una empleado datos de otros. Pero considera que esta afirmación debe ser matizada desde la perspectiva del interés legítimo, que podría constituir una base jurídica para el tratamiento, sino también desde el estricto punto de vista de los datos. Como ejemplo, señala que no es lo mismo compartir un correo corporativo, que el salario o el domicilio personal. En este caso, se comparte el nombre y apellidos, el correo electrónico de trabajo en UST GLOBAL y el DNI. A este respecto, manifiesta la recurrente, por un lado, que se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 puede prescindir de los dos primeros, dado que sería absurdo a nivel empresarial que los empleados no pudieran conocer el nombre y correo corporativo de los compañeros, y, por otro lado, que el correo en cuestión únicamente mencionaba el número de DNI, necesario para el proceso de control y accesibilidad en OpenBank, y no “los datos del DNI”, como se indica en la resolución de la AEPD. Y añade que el número del DNI es “información pública” en ocasiones, como en el caso del reclamante, cuyo número de DNI figura en un listado de admitidos y excluidos en dos convocatorias de pruebas selectivas.
7. d)Invoca el principio de tipicidad y alega que la resolución incurre en vicio de nulidad absoluta al no concretar los hechos y circunstancias concretas que dan lugar a una vulneración de lo establecido en los artículos 5.1
8. f)del RGPD y 5 de la LOPDGDD. A juicio de la recurrente, hablar de difusión o filtración de datos personales cuando se trata de un número de DNI que se revela (no difunde) a un compañero de trabajo parece un excesivo ejercicio de la discrecionalidad de la Administración a la hora de delimitar la correlación entre “hechos” y “tipo”, y ello porque, como se ha indicado, el único dato que se comparte entre dos empleados, más allá del correo corporativo y del nombre y apellidos, es el número del DNI.
9. e)Sobre la graduación de la sanción y la vulneración del principio de proporcionalidad, regulado en el artículo 29 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector público (en lo sucesivo LRJSP), que se descompone en los juicios de idoneidad, necesidad y proporcionalidad, según Sentencia del Tribunal Constitucional 200/1997, lo que está relacionado con la obligación de motivar el acto sancionador. Según la recurrente, en este caso no se ha respetado el principio de proporcionalidad por las razones siguientes: . En contra de lo señalado en la resolución impugnada, el apercibimiento podría imponerse por las infracciones leves que pudieran cometer tanto las personas físicas como jurídicas y cuando (aun siendo infracciones graves) la sanción pudiera constituir una carga desproporcionada a una persona física. Además, no obstante lo señalado en la resolución, la AEPD ha sancionado con apercibimiento a empresas por infringir el artículo 5.1 del RGPD (PS/00405/2018, PS/00218/2019, PS/00354/2018, PS/00037/2019). . La Resolución impone una multa por importe de 3.000 euros, inferior a los 5.000 euros propuestos. No obstante, entiende la recurrente que la multa continúa siendo excesiva, por cuanto no ha respetado las circunstancias del caso. Por otro lado, señala que la AEPD utiliza la analogía cuando identifica “falta de diligencia” con “negligencia”. Se valora como agravante la vinculación de la actividad del infractor con la realización de tratamientos en el ámbito laboral, cuando el artículo 76.2
10. b)de la LODGDD nada indica sobre sobre dicho ámbito. Se trata de una nueva interpretación extensiva, pues la actividad de la recurrente no está relacionada con el tratamiento de datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 personales, ni cabe asimilar actividad de la empresa con número de trabajadores. Por otra parte, la AEPD ha admitido que UST GLOBAL es una mediana empresa, en contra de lo indicado en la propuesta de resolución, pero mantiene la agravante acudiendo a lo dispuesto en el artículo 83.2 del RGPD (cualquier otro factor agravante). Sobre esta cuestión cita la Sentencia del Tribunal Constitucional número 150/2020, de 22 de octubre, que declara inconstitucional y nulo, por contrario al principio de tipicidad, el artículo 40 de la Ley foral de Navarra 7/2006, de Defensa de Consumidores y Usuarios, que habilita a la Administración a calificar una infracción en atención a criterios como la concurrencia de dolo o culpa, el número de afectados, el riesgo para la salud de los consumidores o la cuantía del beneficio ilícito obtenido, entre otros. En cuanto a la categoría de datos personales, la propuesta de resolución valoró esta circunstancia como una atenuante, mientras que la resolución la valora como agravante considerando que existen datos identificativos. Esta solución se considera absurda por parte de la recurrente, alegando que daría lugar a aplicar este criterio siempre como agravante, por cuanto todos los datos son identificativos, atendiendo a la definición de “dato personal”. Finalmente, señala que no se ha considerado como atenuante la designación de un DPD, a pesar de que UST GLOBAL no tiene la obligación de designarlo. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 48.1 de la LOPDPGDD. II En relación con las manifestaciones efectuadas por la recurrente, que reproducen, básicamente, las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que ya fueron analizadas y desestimadas en los Fundamentos de Derecho III a V de la Resolución recurrida, de fecha 14/07/2021, en la que se considera que la misma incumplió lo dispuesto en el artículo 5.1.
11. f)del RGPD y se detalla suficientemente la valoración de las pruebas que han permitido determinar dicho incumplimiento y el alcance otorgado al mismo, así como las circunstancias tenidas en cuenta para la graduación de la sanción impuesta. En dichos Fundamentos de Derecho se indica lo siguiente: “III El artículo 5 del RGPD establece los principios que han de regir el tratamiento de los datos personales y menciona entre ellos el de “integridad y confidencialidad”. Este artículo, en su apartado 1.f), señala lo siguiente: “1. Los datos personales serán: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 (…)
12. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)”. El artículo 5 de la nueva Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se refiere al “Deber de confidencialidad” en los términos siguientes: “1. Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
13. f)del Reglamento (UE) 2016/679. 2. La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable. 3. Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento”. En el presente caso, el reclamante estuvo vinculado a la reclamada como empleado, en virtud de una relación de carácter laboral. Bajo el amparo de esa relación, el reclamante fue asignado al proyecto que la reclamada desarrolló, como prestadora de servicios, para la entidad OpenBank. Con ese motivo, la reclamada comunicó a OpenBank los datos personales del reclamante relativos a nombre y apellidos, dirección de correo electrónico profesional y DNI, con el propósito de que la entidad financiera dispusiera lo necesario para dar al reclamante acceso al sistema de información que le permitiera realizar las tareas que conllevara la prestación del servicio. Estos tratamientos de datos personales del reclamante por parte de la reclamada, incluida la comunicación de aquellos datos a OpenBank, se estiman necesarios para el cumplimiento de las respectivas relaciones que vinculan a los intervinientes en los hechos. No obstante, dicha comunicación de datos a la entidad financiera se realizó por parte de la reclamada mediante un correo electrónico, de fecha 08/01/2020, en el que no solo se incluían los datos personales indicados relativos al reclamante, sino también los datos correspondientes a otro empleado. Este correo electrónico se dirigió a OpenBank, pero se incluyó entre los destinatarios a los dos empleados titulares de los datos transmitidos, de forma que cada uno de ellos pudo tener acceso a los datos personales del otro, según los detalles que constan reseñados en el Hecho Probado Cuarto. Se trata de una difusión de datos personales para la que la reclamada no dispone de base jurídica que la legitime. En consecuencia, la documentación obrante en el expediente acredita que la reclamada vulneró el artículo 5 “Principios relativos al tratamiento” del RGPD, apartado 1.f), en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 relación con el artículo 5 “Deber de confidencialidad” de la LOPGDD, al haber remitido un correo electrónico que incorporaba los datos personales identificativos de dos interesados, sus cuentas de correo y, especialmente, los datos del DNI, posibilitando que cada uno de ellos tuviera conocimiento de los datos del otro. Este deber de confidencialidad, con anterioridad deber de secreto, debe entenderse que tiene como finalidad evitar esas filtraciones de los datos no consentidas por los titulares de los mismos. Se trata de una obligación que incumbe al responsable y encargado del tratamiento, así como a todo aquel que intervenga en cualquier fase del tratamiento; y que es complementaria del deber de secreto profesional. Frente a este incumplimiento no puede oponerse simplemente, como hace la reclamada en sus alegaciones, la responsabilidad mostrada en el cumplimiento de la normativa de protección de datos personales. Se trata de unos hechos que han quedado debidamente acreditados, cuyo alcance y efecto es el expresado anteriormente. Debe, igualmente rechazarse la alegación realizada por la reclamada a la propuesta de resolución, cuando señala que los hechos no constituyen una revelación de datos dado el entorno laboral en que se producen; y considerando como probable que ambos compañeros tuvieran conocimiento de los datos personales del otro. No existe ninguna razón legal para que un trabajador pueda tener acceso a los datos personales de otro trabajador por el solo hecho de pertenecer a la misma organización empresarial; ni la organización puede darlos a conocer a los compañeros en base a la mera suposición de que ya son conocidos por éstos. Por otra parte, es preciso señalar que no es cierto lo indicado por la reclamada en su escrito de alegaciones a la propuesta de resolución al señalar que en esta propuesta se ha considerado que “el interesado no ha sufrido daño o perjuicio alguno, tanto por los datos afectados como por el marco en el que se compartieron” y que “se trata de dos empleados que trabajan juntos y se conocían entre ellos”. Estas afirmaciones aparecen en el Antecedente Quinto de la propuesta de resolución (también en el presente acto), en el que se extractan las alegaciones formuladas por la entidad interesada. Nada que ver con las circunstancias de hecho y jurídicas valoradas para determinar la infracción o para la graduación de la sanción que se impone. IV Para el caso de que concurra una infracción de los preceptos del RGPD, entre los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, el artículo 58.2 de dicho Reglamento contempla los siguientes: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
14. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;” (...)
15. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 (…)
16. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;”. Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en la letra
17. d)anterior es compatible con la sanción consistente en multa administrativa. V En el presente caso, ha quedado acreditado el incumplimiento de lo establecido en el artículo 5.1.
18. f)del RGPD, en relación con el artículo 5 de la LOPDGDD, con el alcance expresado en los Fundamentos de Derecho anteriores, lo que supone la comisión de una infracción tipificada en el artículo 83.5.
19. a)del RGPD, que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
20. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;”. A este respecto, la LOPDGDD, en su artículo 71 establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 de la LOPDGDD indica: “Artículo 72. Infracciones consideradas muy graves. 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
21. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679”. A fin de determinar la multa administrativa a imponer se han de observar las previsiones del artículo 83, apartados 1 y 2 del RGPD, que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
22. a)a
23. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
24. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
25. b)la intencionalidad o negligencia en la infracción;
26. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
27. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
28. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
29. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
30. g)las categorías de los datos de carácter personal afectados por la infracción;
31. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
32. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
33. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
34. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, en relación con la letra
35. k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, establece: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
36. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
37. a)El carácter continuado de la infracción.
38. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
39. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
40. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
41. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
42. f)La afectación a los derechos de los menores.
43. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
44. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 En este caso, considerando las circunstancias concurrentes, se considera procedente la imposición de multa. No cabe aceptar la solicitud formulada por la reclamada para que se impongan otros poderes correctivos, como es el apercibimiento, que está previsto para personas físicas y cuando la sanción constituya una carga desproporcionada (considerando 148 del RGPD). De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción de multa a imponer en el presente caso por la infracción tipificada en el artículo 83.5.
45. a)del RGPD, de la que se responsabiliza a la reclamada, se estiman concurrentes en calidad de agravantes los siguientes factores que revelan una mayor antijuridicidad y/o culpabilidad en la conducta de la entidad reclamada: . La negligencia apreciada en la comisión de la infracción: no se tiene constancia de que la entidad haya obrado dolosamente, aunque la actuación revela una grave falta de diligencia. En relación con esta circunstancia, entiende la reclamada que la falta de diligencia no puede agravar la sanción, considerando que el artículo 83.2 del RGPD se refiere a intencionalidad o negligencia. A este respecto, esta Agencia entiende que la indicada falta de diligencia expresa una falta de cuidado, asimilable en su definición al concepto de negligencia. . La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal en el ámbito laboral. Teniendo en cuenta el número de personas