← España

REPOSICION-PS-00626-2021

1/8 Procedimiento nº.: PS/00626/2021 Recurso de reposición Nº EXP202102453 Examinado el recurso de reposición interpuesto por D. A.A.A., en nombre y representación del Sindicato Intersectorial de Trabajadores/as de la Provincia de Alicante (SITPA) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00626/2021, y en base a los siguientes: HECHOS PRIMERO: Con fecha 7 de junio de 2022, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00626/2021, en virtud de la cual se imponía una sanción de de 2.000 euros (dos mil euros), por la vulneración de lo dispuesto en el artículo 5.1.

  1. c)del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en lo sucesivo RGPD), infracción tipificada en el artículo 83.5
  2. a)del RGPD y calificada de muy grave en el artículo 72.1
  3. a)de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). Dicha resolución, que fue notificada al recurrente en fecha 27 de julio de 2022, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la LOPDGDD, y supletoriamente en la LPACAP, en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00626/2021, quedó constancia de los siguientes: procedimiento sancionador, “PRIMERO: La parte reclamada ha expuesto las actas del Comité de Empresa, en el tablón de anuncios sindical y en un grupo de WhatsApp, figurando en dichas actas las firmas manuscritas de todos los representantes sindicales que intervienen en el Comité de Empresa. SEGUNDO: Fotografías y pantallazos de WhatsApp en los que se visualizan las firmas de los miembros del comité de empresa”. TERCERO: D. A.A.A., en nombre y representación del Sindicato Intersectorial de Trabajadores/as de la Provincia de Alicante (SITPA) (en lo sucesivo el recurrente) ha presentado en fecha 26 de agosto de 2022, en esta Agencia Española de Protección de Datos, recurso de reposición, en el que muestra su disconformidad con la resolución, reiterando los argumentos expuestos en sus escritos de alegaciones, indicando que considera que no se puede entender vulnerado el artículo 5.1.
  4. c)del RGPD, ya que la publicación se ha llevado a cabo por ser necesaria en los términos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 publicados para que se conozca la aceptación de los representantes y, en este caso, no es posible suplir la firma del manuscrita con algún tipo de mención que ponga de manifiesto que el original del mismo ha sido efectivamente firmado. Las actas son firmadas dentro de un proceso de elección de los representantes sindicales, y es requisito necesario el firmar las mismas para entenderse aceptado el cargo, por lo que la aparición de la firma es un elemento esencial, y ello viene recogido y autorizado por el procedimiento de elección de los representantes sindicales. La transparencia y el derecho a saber de las personas trabajadoras que han elegido a sus representantes sindicales tiene que prevalecer sobre la protección de datos de carácter personal. Que el hecho puesto de manifiesto no es sancionable ni grave. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 48.1 de la LOPDGDD. II En relación con las manifestaciones efectuadas por el recurrente, reiterándose básicamente en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del II al VII ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: <<II En respuesta a las alegaciones presentadas por la entidad reclamada, se considera probado que la parte reclamada ha expuesto las actas del Comité de Empresa, en el tablón de anuncios sindical y en un grupo de WhatsApp, figurando en dichas actas las firmas manuscritas de todos los representantes sindicales que intervienen en el Comité de Empresa. En este sentido el informe del Gabinete Jurídico de la AEPD número 048939/2016, que sus conclusiones son trasladables al presente supuesto, ya que el acta contiene la identificación de los firmantes con su nombre, apellidos y cargo sin que la firma manuscrita aporte con carácter general una mayor información sobre lo debatido en el pleno, mientras que da lugar a un situación de riesgo para los firmante por lo que, en principio, debe considerarse que su publicación con carácter general no resulta conforme al principio de proporcionalidad, y por ello se entiende que la entidad reclamada ha vulnerado el artículo 5.1
  5. c)del RGPD, que rige los principios minimización de los datos personales, así como la responsabilidad proactiva del responsable del tratamiento de demostrar su cumplimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 En este mismo sentido se había pronunciado el criterio interpretativo número CI/004/2015, de 23 de julio de 2015, emitido conjuntamente por el Consejo de Transparencia y Buen Gobierno (CTBG) y la AEPD, relativo a la publicidad activa de la firma manuscrita y también de los datos del DNI. En dicho criterio se concluye, respecto a la firma manuscrita, que no puede ignorarse que la publicación de la firma manuscrita puede generar una situación de riesgo debido a la posibilidad de reproducción por parte de cualquier persona que acceda al documento, por lo que se recomienda la supresión de todas las firmas manuscritas de los documentos, «siempre que la ausencia de las firmas sea suplida con algún tipo de mención que ponga de manifiesto que el original del mismo ha sido efectivamente firmado». III El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales. Por su parte, el artículo 5 del RGPD establece que los datos personales serán: “
  6. a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);
  7. b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);
  8. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);
  9. d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);
  10. e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);
  11. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 IV El artículo 72.1.
  12. a)de la LOPDGDD señala que “en función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  13. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. V El artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
  14. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;
  15. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular” VI La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. A fin de determinar la multa administrativa a imponer se han de observar las previsiones del artículo 83, apartado 2 del RGPD, que señala: “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  16. a)a
  17. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  18. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  19. b)la intencionalidad o negligencia en la infracción;
  20. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  21. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  22. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  23. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8
  24. g)las categorías de los datos de carácter personal afectados por la infracción;
  25. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  26. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  27. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  28. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, en relación con la letra
  29. k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, establece: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  30. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  31. a)El carácter continuado de la infracción.
  32. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  33. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  34. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  35. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  36. f)La afectación a los derechos de los menores.
  37. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  38. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción de multa a imponer en el presente caso a la entidad reclamada por la infracción tipificada en el artículo 83.5.
  39. a)del RGPD de la que se responsabiliza a la parte reclamada se estiman concurrentes los siguientes factores: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 -Artículo 83.2.
  40. b)RGPD. “Intencionalidad o negligencia en la infracción”: En este caso concreto, se produce una acción negligente grave al publicar en el tablón de anuncios sindical y en un grupo de WhatsApp dichas actas con las firmas manuscritas de todos los representantes sindicales que intervienen en el Comité de Empresa. Considerando los factores expuestos, la valoración que alcanza la multa por la infracción imputada es de 2.000 euros. VII Entre los poderes correctivos que contempla el artículo 58 del RGPD, en su apartado 2
  41. d)se establece que cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. En tal caso, esta Agencia podrá requerir al responsable para que adecúe los tratamientos de datos personales que realiza a la normativa de protección de datos conforme a lo indicado en los Fundamentos de Derecho precedentes. Se advierte que no atender a los requerimientos de este organismo puede ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. En el texto de la resolución se establecen cuáles han sido las infracciones cometidas y los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD>>. III Debe reiterarse que la firma manuscrita es un dato personal y que es sancionable su difusión sin consentimiento. De acuerdo con lo anterior, el acta contiene la identificación de los firmantes con su nombre, apellidos y cargo sin que la firma manuscrita aporte con carácter general una mayor información sobre lo debatido en el pleno, mientras que da lugar a un situación de riesgo para los firmante por lo que, en principio, debe considerarse que su publicación con carácter general no resulta conforme al principio de proporcionalidad, y por ello se entiende que la entidad reclamada ha vulnerado el artículo 5.1
  42. c)del RGPD, que rige los principios minimización de los datos personales, así como la responsabilidad proactiva del responsable del tratamiento de demostrar su cumplimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 Así pues, el recurrente, vulneró el artículo 5.1
  43. c)del RGPD, toda vez que la parte reclamada ha expuesto las actas del Comité de Empresa, en el tablón de anuncios sindical y en un grupo de WhatsApp, figurando en dichas actas las firmas manuscritas de todos los representantes sindicales que intervienen en el Comité de Empresa. En relación con la cuantía de la sanción, el RGPD, artículo 83.1, exige que, en la posición de las multas administrativas por infracción del RGPD, la autoridad de control garantice que sean, en cada caso, “efectivas, proporcionadas y disuasorias”. De aquí, que en la resolución se valoraron todas las circunstancias que pudieron reflejar una menor culpabilidad del recurrente o una disminución de la antijuridicidad de su conducta, por ello, se tomó en consideración la reducida envergadura de la entidad responsable de la infracción y por lo expuesto, se acordó sancionar al recurrente con una multa administrativa cuyo importe se fijó en 2.000 euros. IV En consecuencia, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por D. A.A.A., en nombre y representación del Sindicato Intersectorial de Trabajadores/as de la Provincia de Alicante (SITPA) contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 7 de junio de 2022, en el procedimiento sancionador PS/00626/2021. SEGUNDO: NOTIFICAR la presente resolución a la entidad D. A.A.A., en nombre y representación del Sindicato Intersectorial de Trabajadores/as de la Provincia de Alicante (SITPA). TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  44. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  45. a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.